iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 129篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 20:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 129 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Gmail垃圾郵件過濾大小眼，美共和黨控告Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://variety.com/2022/digital/news/republicans-sue-google-spam-filter-1235411855/" target="_blank">The Variety</a>》、《<a href="https://www.reuters.com/world/us/republican-national-committee-sues-google-over-email-spam-filters-2022-10-22/" target="_blank">路透社</a>》等媒體報導，距美國期中選舉不到一個月，美國共和黨全國委員會（Republican National Committee，RNC）上周控告Google的Gmail垃圾郵件過濾機制不公平，害它大批募款信件被當垃圾郵件封鎖，致其損失數百萬美元捐款。</p> <p>共和黨向加州聯邦法院提出的文件聲稱，Google的Gmail將該委員會向潛在捐款及支持者寄發的數百萬封電子郵件，被大量掃進用戶的Gmail垃圾信件匣中，害它募不到款。共和黨委員會相信它至少已損失了7.5萬美元捐款，長期下來可能高達數百萬美元。</p> <p>共和黨指出，該黨發送的信件被當垃圾郵件封鎖的量多過民主黨，這個不公平的對待已經持續10個月，並且幾經溝通與調整均不見改善。共和黨人相信Gmail的垃圾郵件掃瞄是基於共和黨的政治立場和觀點，要求法院對Gmail垃圾郵件過濾發出禁制令，並且向Google提出金額不詳的金錢賠償。</p> <p>路透社引述Google官方否認這項指控。Google表示，一如該公司多次重申，Gmail的郵件篩選並不只依據政治立場，也反映使用者的行動。此外Google幾個月前也對選舉行銷人員提供訓練和指引，這場訓練主要在教他們怎麼做不會被當垃圾郵件封鎖，也得到聯邦選舉委員會的核准。<a href="https://www.theverge.com/2022/8/11/23301554/google-gmail-spam-filters-republicans-gop-trump" target="_blank">Google方面指出</a>共和黨全國委員會並未參加這些訓練，甚至連申請都沒有。</p> <p>但Google表示會持續修正，以便提高電子郵件的到達率，同時減少垃圾郵件。</p> </div></div></div>
2022/10/24 09:41作者林妍溱https://www.ithome.com.tw/news/153771
希捷擁抱IT現代化加速轉型，靠資料湖平臺克服PB級數據挑戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進希捷（Seagate）新加坡的智慧工廠，光是一層樓就有數十條生產線，從入口處門窗往內看，一片片玻璃碟片（recording media）串成的碟盤，正準備裝入盒中，送進裡面進行加工，製程一站接一站，一個製程少說5～6道加工步驟，每個步驟都不能容忍半點誤差，直到封裝完成準備出貨。品管人員只需掃描碟盒包裝上的條碼，生產過程的所有記錄，就能立刻秀在電腦螢幕上，在哪一臺機臺生產、經過哪些測試，甚至每一種IoT感測器蒐集的數據，都一目了然。</p> <p>過去5年來，Seagate在這間工廠內運用大量IoT、AI技術，整合更精準智能控制、智慧化量測來優化生產品質與提升作業效率。這一片片記錄碟片是生產硬碟很重要的關鍵元件。這些生產流程、關鍵製程，正一步步改變，讓工廠轉向不只自動化，更要智慧化。不只這座工廠，Seagate目前全球工廠中都已導入智慧製造應用。一手主導這家40年硬碟製造大廠轉型的關鍵人物，就是Seagate資訊長Ravi Naik。</p> <p>這家跨國老牌硬碟大廠，全球擁有7座生產工廠，每年要生產上億顆硬碟，但不像工廠製程技術不斷翻新，走向先進製程，這家公司過去採用的IT技術並未完全跟上，甚至用的還是十多年前的老舊ERP系統，直到5年前，因為數位轉型開始出現轉變，不只擁抱現代化IT，更為工廠轉型而大舉上雲，還要借重DataOps與MLOps維運做法，加速邁向工業4.0智慧工廠。</p> <p><span style="font-size:28px;"><strong>老牌硬碟廠五年前開始轉型，從IT現代化改造做起</strong></span></p> <p>但是，硬碟製造不像是一般的製造業，Seagate的生產模式高度集中，不論是硬碟中的資料儲存碟片、讀寫磁頭、馬達、主控晶片等，都是自己一手包辦，由旗下全球7座工廠生產。由於不同元件生產所需製造技術與流程差異極大，甚至單一元件生產，至少需要數百到上千道製程與檢測程序，來確保生產品質，使得硬碟生產更加複雜。</p> <p>尤其，Seagate生產的產品相當廣泛，橫跨不同尺寸的儲存產品，從消費性產品、企業級產品，到儲存系統等都有，儲存容量更從早期數GB、上百GB，發展到現在數十TB，對於生產製造的挑戰也越大。</p> <p>正因為如此，Seagate在2017年決定展開數位轉型，找來了前SanDisk資訊長Ravi Naik領軍，這位曾幫助SanDisk成功轉型的IT大將，也被賦予重任，要帶領IT團隊幫助這家40年硬碟廠展開轉型。</p> <p>Ravi Naik上任的第一件事，就是將現有資料中心、技術架構、軟體堆疊整併，以便將IT現代化，支援新的製造需求；同時，對於IT組織、人員及其技能進行重整。他表示，透過這樣的方式，因此省下上億美元支出。</p> <p><span style="font-size:28px;"><strong>因應業務快速成長，決定汰換沿用多年的老舊ERP系統</strong></span></p> <p>他和資訊團隊前後花了1年半來整併IT與簡化團隊，接著展開了關鍵系統的汰換，將ERP系統全面翻新，導入SAP S/4HANA ERP來取代舊有Oracle ERP，這也是Seagate歷年來最重要的一次ERP系統全面大改造。</p> <p>由於Seagate近幾年積極拓展應用市場，不只產品種類更加多元，營運模式也從傳統硬碟產品銷售，轉而推出雲端硬碟儲存與分析服務，甚至未來還要轉型成為智慧製造服務供應商，開始提供跨產業解決方案，但Seagate這套用了超過25年的老舊ERP系統，早已面臨系統瓶頸，無法支撐公司未來營運成長，甚至阻礙Seagate朝向智慧製造轉型。</p> <p>所以，Ravi Naik兩年前開始評估汰換舊版ERP，改導入新一代ERP，大幅簡化業務流程，也要幫助這家公司加速推動新業務。經過2年多開發與建置，Ravi Naik表示，新系統預計明年中上線。</p> <p>為了推動IT現代化，Seagate這些年不只展開了關鍵系統的汰換、瘦身，甚至是架構轉型，新一代IT基礎架構開始擁抱容器、混合多雲架構，來打造更靈活、彈性的基礎架構，AP應用也導入微服務，讓應用程式跟著現代化。</p> <p><span style="font-size:28px;"><strong>結合IoT、AI應用打造智慧製造產線，提高生產效率和品質</strong></span></p> <p>這些年，Ravi Naik一邊推動IT現代化的改造，來加速內部IT轉型，另一方面，也從工廠改造著手，結合IoT、AI應用來打造智慧製造產線，希望能夠整合更精準智能控制、智慧化量測來優化生產品質，以及提升作業效率。</p> <p>2020年時，Seagate展開工廠轉型，在全球工廠中導入IoT系統、IoT設備與感測器，單是一間工廠裡就部署了超過4千個IoT感測器，來取得生產過程中所有關鍵數據，更配置上萬臺聯網機器人分布在全球7間工廠中，能即時上傳生產參數。為了分析這些數據，Seagate建置Hadoop大數據分析平臺，開始透過數據分析找出提高生產效率更好的做法。不僅如此，這些數據後來也成為工廠發展AI應用、優化ML模型的關鍵。</p> <p>2019年在工廠中開始導入AI，從預防性機臺設備維護、故障分析，到各製程的瑕疵檢測等，都開始結合AI電腦視覺、機器學習做應用，像是提高不良品的檢出率，也透過AI優化品管作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400-Seagate%20-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.png" style="width: 425px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／余至浩</span><br /> <strong>Seagate資訊長Ravi Naik表示，為了發展智慧工廠，不只進行IT現代化改造，OT工廠導入虛擬化和微服務應用，更是加速工廠轉型的關鍵。</strong></span></p> <p><strong style="font-size: 28px;">為了加速工廠轉型，生產機臺改用VM全面實現工廠虛擬化</strong></p> <p>不只導入IoT 、AI技術打造智慧化產線，就連工廠內的生產機台現在改成虛擬化的方式運作，全面實現虛擬化工廠。他們使用伺服器虛擬化技術，將每一臺機臺設備虛擬化後，全部改以VM方式來執行原有的生產任務，甚至一些應用轉為容器化微服務應用。如今這家公司全球工廠皆達到99%虛擬化。</p> <p>Ravi Naik表示，這麼做的目的，就是要確保工廠能夠全天運作，以維持產線不中斷。例如其中一臺機臺設備上VM故障，系統就能自動將原本正在執行的任務，轉移到其他不受影響的VM上來接續執行。他強調：「為了發展智慧工廠，不只進行IT現代化改造，OT工廠導入虛擬化和微服務應用，更是加速工廠轉型的關鍵。」</p> <p><span style="font-size:28px;"><strong>打造超大15 PB級資料湖分析平臺</strong></span></p> <p>但是發展智慧製造短短不到幾年，Seagate的全球工廠資料數量呈現爆炸式成長，平均一天就要新增50 TB的資料，用於數據分析及發展各種AI、深度學習應用，這也成為了Seagate IT所要面對一大挑戰。</p> <p>Seagate從2017年啟動數位轉型計畫後，馬上就遇到資料爆量的考驗。單座工廠一年就累積1.8 PB的資料，到今年數量更翻倍成長，這些資料有機臺感測器數據、訓練資料、推論資料、圖片與影像，以及生產過程數據等。</p> <p>為了克服資料爆量的難題，資訊團隊2020年開始打造以Hadoop為基礎的15 PB資料湖分析平臺，用於儲存與處理硬碟工廠每天製造相關資料，這個資料湖打造的分析平臺，也成了Seagate所有分析資料的主要來源。</p> <p>但是，要存取工廠中的數十TB數據，若是全部透過網路傳送到這個資料湖中，沒辦法很快傳完，所以，他們依據工廠對資料需求的迫切性，來決定哪些資料優先放進資料湖中，例如有立即性分析需求的數據，就會透過高速網路將資料傳送到資料湖平臺中，以便能夠快速拿來分析運用，至於沒有立即需求的數據，就不一定要採用這個方式，而是先存放在本地行動儲存設備中，隔一段時間後，再將資料搬進資料湖中。</p> <p>Ravi Naik表示，目前這套資料湖平臺採用多雲混合雲架構來部署，能根據在平臺上執行不同工作負載，來跑在不同大型公雲上，但是對於需要大量資料的工作負載，例如儲存量超過1PB的，就會放在自家原生雲端環境Lyve Cloud來執行，並結合K8s容器管理。Seagate後來更把這套PB級資料湖分析平臺，轉為變成對外部企業提供的解決方案。</p> <p>Ravi Naik表示：「PB級資料湖平臺的推出，不只是Seagate發展智慧製造多年累積的重要成果，更是這家公司未來要從傳統儲存硬體製造商，轉型成為智慧製造服務供應商所跨出的關鍵一步。」</p> <p><span style="font-size:28px;"><strong>為提高資料運用效率，開始實踐自動化DataOps維運做法</strong></span></p> <p>不光是建造大型資料湖平臺，隨著工廠資料的數量、種類和速度迅速增長，Seagate的數據管理和維運方式也更加自動化，提高資料運用效率，甚至還引進DataOps 維運做法，來加以實踐。</p> <p>為何DataOps對智慧製造發展如此重要？Ravi Naik解釋，智慧製造雖是由多種技術來推動，當中最重要的環節就是數據，只有掌握數據以後，才有能力發展智慧製造。這些數據來自各種工廠設施，舉凡製造系統、監控攝影機到各種IoT感測器都包含在內，這些數據蒐集起來後，會全部放進一個大型資料湖中，然後從這些數據中建立關聯性，「但是，建立關聯過程非常複雜，所以，DataOps就很重要。」他說。</p> <p>Ravi Naik進一步說明，DataOps是把不同設備元件中的數據整合在一起的過程，然後將這些數據關聯組合起來，並制定出一套標準，讓各種分析工具都能從它身上取得必要數據進行分析，更進一步來說，DataOps其實就是一種數據蒐集、搬移和組織的數據維運能力。</p> <p>像是發展智慧製造過程中，Seagate一開始的做法也是將蒐集到的生產數據拿來分析並從中持續學習，然後藉由數據累積，開始結合DataOps維運做法，讓這些數據能夠容易被使用，甚至能結合進階分析工具做運用，進而逐步實現工廠智慧化。</p> <p>從技術實作角度來看，他表示，實踐DataOps之前，企業必須要具備生產各種關鍵製造數據的手段，才能夠將這些數據蒐集起來做運用，如此一來，才能夠開始做DataOps。</p> <p>Ravi Naik接下來還將透過建模來統一全球工廠流程及工具。由於不同硬碟元件生產需要不同應用與生產技能，以往各廠之間就像是一座高聳又封閉的穀倉（silo），彼此各自獨立，資訊也不互通。但他表示，以後就沒有這個問題，通過跨廠建立共同的流程與工具，以後從全球工廠取得的數據，就能提供各工廠來運用，甚至在供應鏈上，各廠之間也能彼此配合。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>Seagate執行副總暨資訊長 Ravi Naik</strong></p> <p>學歷：印度孟買大學電機學士</p> <p>經歷：歷練多家IT公司管理者和IT主管，從HP、3Com到Mercury Interactive等，2007年加入SanDisk，在他任職10年間，不只擔任IT主管一手推動IT轉型，也全面翻新ERP，2017年開始擔任Seagate資訊長，負責協助這家老牌硬碟廠推動IT現代化轉型，邁向智慧工廠。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> 公司檔案 </span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/300-%20Seagate%20-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 250px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／余至浩</span></span></p> <p><strong>Seagate Technology</strong></p> <p>總部：美國加州佛利蒙市</p> <p>網址：<a href="http://www.seagate.com">www.seagate.com</a></p> <p>成立時間：1979年</p> <p>主要業務：硬碟、資料儲存系統的生產製造等</p> <p>員工數：超過40,000人（2022年）</p> <p>年營收：約106.8億美元（2021年）</p> <p>執行長：Dave Mosley</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：Seagate資訊長</p> <p>資訊部門主管姓名：Ravi Naik</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2017年：啟動數位轉型計畫，開始整併現有資料中心、技術架構、軟體堆疊與簡化團隊等，來發展現代化IT</p> <p>2018年：導入混合多雲架構，開始將本地端應用搬上公有雲</p> <p>2019年：FIS工廠資訊系統推出上線，從舊有設備中將資料轉移至硬盤記錄碟生產廠中的FIS</p> <p>2020年：規畫導入SAP S/4HANA ERP取代舊系統，大幅簡化業務流程、打造Hadoop為基礎的15 PB資料湖分析平臺，用於儲存與處理硬盤記錄碟生產廠製造的相關數據、用於硬盤記錄碟生產廠的MIS製造資訊系統推出上線、展開工廠轉型</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-seagate-tu_1-she_ying_-yu_zhi_hao_.jpg" width="960" height="420" alt="" title="Seagate執行副總暨資訊長 Ravi Naik 　（攝影／余至浩）" /></div></div></div>
2022/10/24 07:00作者余至浩https://www.ithome.com.tw/people/153749
GCP多雲戰略的下一步，以多雲資料倉儲為核心打造通用資料雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資料是數位轉型的核心，」Google Cloud執行長 Thomas Kurian在2022年度Next大會開場演講的這句話，點出了GCP戰略的新方向，這是GCP的第三次戰略目標大調整。</p> <p><span style="font-size:28px;"><strong>GCP三度戰略大轉向</strong></span></p> <p>2015年Google決定從廣告公司模式，轉型以雲端營收為主的雲端公司。 Google設立雲端部門，在2016年正式跨入企業雲端市場至今，經過了三次戰略大轉向。每一次戰略轉向，都更加聚焦，從廣告消費市場轉向企業級雲端市場，從通吃各式各樣的企業到專攻數位轉型企業，現在第三階段的戰略則是再次縮小標靶，瞄準企業數位轉型的核心，也就是資料。</p> <p>GCP成立最初三年，是第一個階段，Google要以創新技術的優勢，來搶攻企業雲端市場的各種需求。</p> <p>GCP首位主管虛擬化女王Diane Greene在2016年第一次Next大會上公布了3大技術發展戰略：資安、AI和新一代雲端技術，來搶攻企業雲端市場。</p> <p>例如要靠Kubernetes來加速任何企業上雲，或是以TensorFlow 打造人人都能用的機器學習平臺服務等高度創新的產品，想要靠技術吸引所有的企業買單，但這個做法，花了3年，仍舊無法提高GCP在雲端市場的占比。</p> <p>2019年，虛擬化女王退場，改由Google Cloud現任執行長Thomas Kurian接棒，這位曾在資料庫龍頭創下年營收350億美元的關鍵推手，帶領GCP不再只考慮自家技術，而是轉換成顧客視角，來尋找新的產品策略，GCP戰略也進入了新的第二階段，發展戰略轉為瞄準企業的數位轉型歷程。</p> <p>從這一年開始，GCP不再過度強調自身技術的創新，產品策略轉為要提供企業顧客這五大能力，包括了可管理超大規模資料的能力、聰明分析的能力、開發應用程式的能力、AI和ML能力和支援協作模式的改變。瞄準企業多雲需求的Anthos，就在Thomas Kurian宣布下正式推出。</p> <p>瞄準企業數位轉型需求和多雲管理平臺兩大新對策，也順利打開了GCP在大型企業中的口碑和影響力，吸引到不少大型企業顧客的採用。後續每一年，Thomas Kurian的Next開場演講，都必定揭露更多大型企業實例，今年也不例外，甚至甚至在主力產品發布之前，Thomas Kurian一口氣先揭露了不同產業的知名企業採用實例，來強調GCP在企業市場逐漸累積的影響力。</p> <p>從顧客需求的角度出發，GCP也不再只聚焦自家這朵雲，從2019年開始將產品策略轉向多雲混合雲，這是Thomas Kurian當年一上任就提出的大方向。</p> <p>GCP多雲戰略先從基礎架構跨雲展開，當Anthos產品線逐漸成熟之後，也順利延伸到其他公雲和企業本地機房之後，仍然繼續發展，延伸到邊緣、電信等特定應用場景下的混合雲架構，這兩年仍持續更新。</p> <p><span style="font-size:28px;"><strong>2021年揭露資料分析戰略藍圖，全力打造通用的資料雲</strong></span></p> <p>不過，GCP的戰略再度轉向，在2021年展開了第三階段的新戰略，也就是Thomas Kurian提到的數位轉型的核心「資料」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/p2%E5%9C%961-%E8%B3%87%E6%96%99%E6%88%B0%E7%95%A5%E8%97%8D%E5%9C%96(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">Google Cloud產品總監Sudhir Hasbe在去年Next大會上就公布了一份Google Data Cloud的資料分析戰略藍圖，要打造一個通用的資料平臺，通吃各種企業需求，今年Next大會大舉展現多項資料分析的新產品。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／GCP</span></p> <p><span style="font-size:28px;"><strong>產品重心從基礎架構多雲混合雲，邁向資料跨雲架構</strong></span></p> <p>以組織全世界資訊為願景起家的Google，相當清楚資料真正的價值，也擁有管理超大規模資料的頂尖技術，一直想把這種能力，變成一種產品，</p> <p>但要做到「可以聚集和分析來自所有來源，所有儲存格式，所有雲端供應商的所有資料，來提供各種形式的存取。」這個Thomas Kurian 最新揭露的Open Data Cloud 新戰略。</p> <p>Google決定全力發展企業雲端市場初期，重心是IT基礎架構和AI，BigQuery雖然持續發展，但不是第一優先，也一直都停留在結構化資料分析平臺的定位。直到2021年，資料雲成了GCP首要新戰略，Google Cloud產品總監Sudhir Hasbe在去年Next大會上就公布了一份Google Data Cloud的資料分析戰略藍圖，要打造一個通用的資料平臺，通吃各種企業需求。</p> <p>在這個資料分析戰略藍圖，涵蓋了資料搜集、資料處理、資料儲存、資料分析、資料活化、資料賦權六大類產品線，最終再整合到一個支援多雲混合雲的單一管理平臺，最終目標就是要打破資料孤島。</p> <p>Google從2021年1月開始全力發展這張藍圖所不足的產品和功能，去年推出了第一個核心展品，可部署到其他公雲的BigQuery Omni。這項產品奠定了Google資料雲的多雲架構基礎之後，將BigQuery的體驗，帶到了其他公雲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/p2%E5%9C%962-BigQuery%E7%82%BA%E6%A0%B8%E5%BF%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90GCP.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">GCP要以BigQuery為核心，來管理和整合企業分散在不同公有雲上的資料，去年先推出BigQuery Omni，將BigQuery的體驗，帶到了其他公雲。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／GCP</span></p> <p>今年，Google進一步開始大力升級BigQuery，第一步就是推出十年來最大升級，支援非結構化資料。BigQuery研發負責人Google Cloud產品總監Brian Welcker指出，BigQuery支援非結構化資料最大的價值是，可以強化Google的AI技術優勢，直接用BigQuery SQL來運用各種AI產品。</p> <p>不只如此，GCP也開始強化BigQuery與GCP資料產品線和AI產品線整合，例如可以整合Vertex AI，開始將MLOps流程帶到BigQuery。BigQuery更積極強化對各種商用資料庫或其他公雲資料平臺的整合，來擴大其影響力。</p> <p>「BigQuery正是Data Cloud的核心。」Brian Welcker強調：「 Google資料雲戰略的目標是，建立一個開放、整合和智慧的資料生態圈，來加速企業顧客的創新。」</p> <p>GCP也正在打造一套分散式資料治理通用平臺Dataplex，去年發表了預覽版，今年底即將增Data Lineage資料血統追溯功能，可以從資料搜集，分析到機器學習歷程，來追蹤每一項機器學習所用資料的完整血統關係。「資料和AI的下一個挑戰是擴大規模後的信心，需要更強的資料治理和統一的治理做法。」Brian Welcker透露。</p> </div></div></div>
2022/10/24 07:00作者王宏仁https://www.ithome.com.tw/news/153752
BigQuery十年最大升級，終於通吃非結構化資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Next大會最重要的產品發布就是BigQuery大升級，這個在2010年首度亮相，2011年正式推出的史上第一款Serverless雲端資料倉儲，發布了10年來最大一次的功能升級，終於開始支援非結構化資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-2010%E7%99%BC%E8%A1%A8%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>早在2010年的Google IO大會上，Google就展示了最早的BigQuery服務，可以提供結構化資料的機器學習預測，隔年正式推出。</strong>圖片來源／GCP</span></p> <p>GCP從去年開始展開BigQuery產品線的升級，推出了多雲部署版本BigQuery Omni，可以將BigQurey部署到其他公雲，如AWS和Azure上，來提供跨多雲的單一大數據分析平臺能力，而不用像過去得將所有資料集中到GCP才能使用BigQuery。但這一步，只是BigQurey產品大升級的前奏。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E8%B7%A8%E5%A4%9A%E9%9B%B2%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>BigQuery成為Google發展通用資料平臺的關鍵，去年先推出BigQuery Omni將BigQuery體驗帶入到其他公有雲，今年開始展開BigQuery各項升級和強化。</strong>圖片來源／GCP</span></p> <p>到了2022年1月，BigQuery更開始跨出結構化資料的範疇，正式支援半結構化資料JSON資料格式，引起各界高度關注。因為JSON是Web應用最常用的資料格式，這一步讓GCP超強的大數據分析工具，可以直接匯入、原生處理各種Web應用、行動App產生的第一手資料，更容易成為各類Web應用的主要分析資料集散中心。</p> <p><span style="font-size:28px;"><strong>關鍵升級1：今年開始支援非結構化資料</strong></span></p> <p>沒想到，GCP對BigQuery布局不只如此，到了10月Next大會，更進一步宣布BigQuery將開始支援非結構化資料，從圖片、聲音、影片、串流影像到龐大的Log檔案，通通都可以支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%961-%E6%94%AF%E6%8F%B4%E9%9D%9E%E7%B5%90%E6%A7%8B%E5%8C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px; height: 338px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>BigQuery今年開始支援非結構化資料，可以用SQL指令建立工作流程，提供非結構化資料進行查詢、合併、預測、治理和共享等處理。</strong>圖片來源／GCP</span></p> <p>BigQuery推出了物件表格（Object Tables）預覽版，可以將非結構化資料原始檔案和相關的後設資料，儲存到欄位式的資料表中，也能用來建立SQL指令所設計的工作流程，近一步提供查詢、合併、預測、治理和共享等處理方式，讓企業DBA或開發人員以慣用的SQL指令來處理非結構化的資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%89%A9%E4%BB%B6%E8%A1%A8%E6%A0%BC-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>BigQuery推出物件表格（Object Tables）預覽版，可以將非結構化資料原始檔案和相關的後設資料，包括圖片、聲音、影片等儲存到欄位式的資料表上使用SQL指令。</strong>圖片來源／GCP</span></p> <p>BigQuery研發負責人Google Cloud產品總監Brian Welcker指出，BigQuery支援非結構化資料最大的價值是，可以強化Google的AI技術優勢，直接用BigQuery SQL來運用Google各種AI產品。</p> <p>BigQuery是第一個將運算和儲存徹底分開的資料倉儲服務，來提供高可用性和擴充性，特色是支援SQL相容語法指令，提供欄或列等級的精細存取控制、顧客自管加密金鑰等安全性。</p> <p>目前，BigQuery資料用量達到PB級的企業，超過了1百家，BigQuery平均每一秒要處理110TB的顧客資料，所搭配的記憶體式分析BI引擎，每個月查詢次數超過了30億次。</p> <p>但是，過去10年來，BigQuery一直有一個最大的不足，就是只能支援結構化資料。因為許多電腦視覺、語音辨識、語言翻譯、自然語言處理等AI成熟應用，大多是以非結構化資料為主要素材，過去，要使用GCP上這類影音相關AI，得使用GCP其他雲端儲存服務來保存訓練資料。資料分散多套平臺，想要統一權限管理、管理政策、資料治理，開發者或維護團隊得到不同平臺上，使用不同的機制來建立同樣的政策，版本維護和政策同步也相當麻煩，更提高了配置錯誤的風險。</p> <p>不只是管理機制的複雜化，非結構化資料的儲存服務往往由基礎架構維運團隊負責，而而結構化資料則由資料團隊負責，想要建立一個通吃兩類資料的分析模型，需要兩組維運團隊合作，更添加了組織分工的成本和協作溝通的複雜度。</p> <p>許多資料倉儲大廠，早在多年前，就紛紛從結構化資料，開始支援非結構化資料，就是為了將各種資料集結到單一資料倉儲系統中來統一治理，但是BigQuery遲遲沒有支援，直到今年。</p> <p>透過這個BigQuery新發表的Object Tables功能，可以將儲存在Gogole儲存Bucket上的各種類型的物件，以資料表的形式呈現在BigQuery中，可以使用SQL指令查詢這些完整的物件後設資料，也可以建立SQL工作流程，能簡化增量處理作業，建立物件資料表後也可以提供顆粒度更細緻（例如按資料欄位控制）的權限控制機制，也能安全的共享這些非結構化資料。</p> <p>另外，也可以直接在BigQuery中套用GCP現成的AI框架和機制來訓練這些非結構化資料，甚至直接使用內建或訓練好的機器學習模型來推論。例如直接用真實房屋屋內照片結合出租紀錄，建立一個用真實屋內設備來預測出租結果的模型。</p> <p>「 Google資料雲戰略的目標是，建立一個開放、整合和智慧的資料生態圈，來加速企業顧客的創新。」Brian Welcker指出：「BigQuery正是Data Cloud的核心。」</p> <p>因此，不只是擴大所支援的資料類型，GCP更早從去年就開始陸續布局，各種擴大BigQuery資料接觸面、資料流通力的機制，要以BigQuery來打造更完整的資料生態圈。目前已經累計超過800家資料雲合作廠商。</p> <p><span style="font-size:28px;"><strong>關鍵升級2：強化與商用資料庫的遷移和互通機制</strong></span></p> <p>今年初發表的BigQuery遷移服務，也在10月的Next大會中正式GA，可以支援12種資料來源的轉移作業，包括了Teradata資料倉儲、IBM Netezza、Oracle 資料庫和Amazon Redshift。這是GCP用來吸引企業搬遷舊有資料倉儲上雲的重要手段。</p> <p>另外，GCP的變動資料擷取服務Datastream也開始支援BigQuery，目前是預覽版，可以將多個企業級資料庫的串流資料的變動，將資料和Schema即時複製擷取到BigQuery中，不需要另外的處理程序，來強化BigQuery對於即時OLTP資料的分析能力。可以支援甲骨文資料庫、MySQL資料庫、PostgreSQL（預覽版）和AlloyDB。這也是另一個用來打通BigQuery與現有商用資料庫間的重要資料互通機制，可以快速複製現有資料庫的即時資料。</p> <p><span style="font-size:28px;"><strong>關鍵升級3：支援JSON強化Log大數據分析</strong></span></p> <p>支援Log資料分析也是BigQuery今年的主打特色，除了原本就提供的Storage Write API資料匯入服務，可以提供到每秒百萬次操作不影響查詢效能的能力，來搜集各種即時串流的Log資料，另外，新增了對原生JSON資料型態的支援，能夠直接匯入json文件來產生以欄位儲存的表格，也提供了新的文字搜尋索引，可以對龐大的JSON等log資料進行精確搜尋，快速找出符合特定文字模板的資料列，「這是媲美在草叢中找針的精準搜尋能力。」Brian Welcker這樣比喻。</p> <p><span style="font-size:28px;"><strong>關鍵升級4：視覺化SQL除錯和優化工具</strong></span></p> <p>SQL查詢是BigQuery最大賣點，但要從複雜的SQL指令來了解執行指令的運作情況和效能瓶頸，對DBA來說是一大挑戰，GCP這次大會中，也發表了一款SQL查詢除錯工具Query Inspetor預覽版，可以用視覺化方式來除錯、解決SQL查詢指令的效能問題，例如產生查詢指令的運作流程圖，來了解不同查詢任務之間的資料流向，來找出影響效能的瓶頸。</p> <p>「這是用來管理所有查詢、診斷、比較同類查詢和優化查詢的一站式工具。」Brian Welcker補充。</p> <p>另外，過去在Google Workspace商用付費版本才提供的Connected sheets功能，可以用Google Sheets試算表直接連結BigQuery，來讀取資料進行分析，現在變成了免費功能，個人版也能連結BigQuery，以分析人員或業務人員熟悉的操作介面，來存取BigQuery上的分析報表和數據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E6%9F%A5%E8%A9%A2%E9%99%A4%E9%8C%AF%E5%B7%A5%E5%85%B7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>SQL查詢除錯工具Query Inspetor預覽版，可以用視覺化方式來除錯、解決SQL查詢指令的效能問題。</strong>圖片來源／GCP</span></p> <p><span style="font-size:28px;"><strong>關鍵升級5：將GCP全套MLOps工具帶進BigQuery</strong></span></p> <p>BigQuery早在2018年就內建整合了機器學習功能推出BigQuery ML，可以用標準SQL查詢指令，在BigQuery中訓練ML模型，雖然在這次Next大會上，沒有太多更新，但是，這次也推出了一個殺手級的連結機制，可以將BigQuery ML的模型，整合到 Vertex AI平臺的模型儲存庫。</p> <p>Vertex AI是Google去年推出的全託管式機器學習平臺，將一系列Google內部所用的機器學習工具和框架，組合成了一套AI訓練服務平臺，也包括了一系列的MLOps工具，涵蓋了訓練資料管理、ML訓練、雛形開發、實驗、模型部署，甚至是模型解釋，以及模型上線後的監控，可以提供端到端到維運的完整ML應用生命周期管理。</p> <p>例如提供了像Vertex Model Monitoring、ML Metadata與Pipelines這些MLOps工具，可以用來建立自助式的ML模型，以及提高重複利用率。BigQuery ML新增了一項與 Vertex AI模型儲存庫的連結機制，可以將BigQuery ML訓練出來的模型，自動註冊到這個儲存庫，來進行管理、追蹤、版本控管，甚至可以儲存BigQuery ML模型的後設資料和各種runtime相依性作為日後重複部署之用。</p> <p>不只如此，建立連結之後，還能將BigQuery ML的模型，整合到Vertex AI模型評估和部署機制上，來進行離線評估或上線的追蹤，也可以統一管理在BigQuery的機器學習模型發布流程，從模型審查、核准、發布甚至是到退版都能管理。換句話說，雖然只是ML儲存庫的連結，但這一步等於將Vertex AI的全套企業級MLOps管理平臺，帶進了BigQuery資料倉儲。</p> <p><span style="font-size:28px;"><strong>關鍵升級6：同一套SQL支援更多種類分析任務</strong></span></p> <p>使用SQL指令來完成各種分析任務是BigQuery最大的賣點，Google也不斷擴充SQL指令可以完成的任務，一方面，除了強化BigQuery機器學習開發流程之外，GCP在幾年前所併購的ETL資料處理工具Dataform，現在終於整併到BigQuery產品線中，推出了新的預覽版，可以提供一個類SQL的語言稱為SQL X來撰寫各種資料轉換工作流程，管理各種不同的ETL資料處理流程，也能搭配GitHub進行版本控管，引進軟體開發流程來強化資料分析團隊的協作，這個產品可以強化BigQuery資料前處理能力。</p> <p>在強化查詢指令的功能上，BigQuery SQL也開始支援Spark串流分析運算，可以將Spark程式寫成Store Procedure，然後直接在BigQuery中執行Spark的任務，也能套用同樣的資安和治理政策，例如套用GCP IAM權限，或是套用與BigQuery上同樣的精細權限控管（欄或列）設定等。</p> <p>在結構化資料當道的時候，BigQuery 曾經被譽為最強的大數據分析工具之一，但隨著AI技術成熟，各種非結構資料暴增，非結構化資料成了企業分析需求的大宗，各家雲端儲存服務、資料湖和資料倉儲系統也紛紛跟進，形成多家競逐，各有擅長的態勢。</p> <p>GCP今年開始大力押寶BigQuery，BigQuery 在推出11年之後，終於跨入了非結構化資料場域，後發能否再度搶下頭名，這正是GCP新資料戰略接下來的考驗。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 新策略 </span></span> <span style="color:#3399ff;">搶攻SRE、SecOps和NetOps維運大數據需求</span></strong></span></p> <p><span style="color:#696969;"><strong>在今年Next大會上，BigQuery除了大規模翻新產品功能之外，在產品推廣策略上，也鎖定了企業最常見的大數據分析應用場景，就是維運大數據分析需求。</strong></span></p> <p><span style="color:#696969;"><strong>Google Cloud產品經理Christopher Crosbie指出，今年特別要瞄準企業三大維運場景的Log分析需求，一種是DevOps和SRE場景，想要觀察和了解各種AP的行為，加快除錯速度來縮短系統當機的復原時間（MTTR），第二種是SecOps場景，企業想要從龐大資安Log中，更容易調查與資安相關的攻擊事件資料。最後一類是IT網路維運（NetOps），需要整合各方資料來提供更完善的網路洞察。</strong></span></p> <p><span style="color:#696969;"><strong>但是，企業要處理的Log資料需求和類型非常多元，常會運用不同的Log分析系統，來處理上述不同類型的需求。但是Christopher Crosbie指出，Log系統越多套，會衍生不少問題，例如，資料經過越多系統，到達最終系統會產生延遲問題，其次，不同系統或處理機制對資料可能有不同的轉換處理，會導致缺乏清楚的單一資料正確來源，當要套用ML訓練時，要整合多套資料來源的串接，容易導致ML流程的斷裂，對維運團隊而言，也得經常在不同系統間切換和轉移資料，更增加工作流程的複雜。</strong></span></p> <p><span style="color:#696969;"><strong>BigQuery在邁向通吃各類資料和各種分析需求的大戰略之下，也想要成為通吃不同類型Log分析需求的單一大數據平臺，早在1年前，GCP先推出了Stroage Wirte API，可以快速將各類Log資料來源寫入到BigQuery中，GCP宣稱可以達到每秒100萬筆寫入操作，也不會影響查詢效能。</strong></span></p> <p><span style="color:#696969;"><strong>在今年Next大會，Google Cloud產品總監Brian Welcker就表明，BigQuery要推出Log大數據分析，除了原本的Stroage Wirte API之外，再加上了原生JSON資料類型支援正式GA，也新推出了龐大資料的搜尋索引功能。</strong></span></p> <p><span style="color:#696969;"><strong>Christopher Crosbie表示，不只可以支援從多種資料類型批次轉換成JSON，也可以跟Dataflow、JDBC、Biglake Tables整合，將SQL查詢結果快速輸出成JSON來提供他用。而搜尋索引則不需要知道原本的資料結構，也能搜尋結構化或非結構化的獨特資料，也提供時序性資料的最近幾筆查詢條件的優化，例如最近30筆，可以用於Log分析常用最新變化查詢之用。</strong></span></p> <p><span style="color:#696969;"><strong>Google還在自家Cloud Logging服務下，用BigQuery打造了一個新的Log分析預覽版，可以用來彙整來自各種雲端環境的Log分析，可以利用SQL語法來處理和分析這些雲端Log。</strong></span></p> </div></div></div>
2022/10/24 07:00作者王宏仁https://www.ithome.com.tw/news/153753
美國CISA力挺FIDO無密碼身分認證機制，成新世代多因素認證標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年十月，美國白宮都將推動一整個月的「網路安全意識月」（Cybersecurity Awareness Month），身為美國國土安全部的網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）總監Jen Easterly更是積極四處奔波，希望可以提升美國民眾的資安意識。</p> <p>她也於日前（10月18日）公開發文並且於推特錄製影片表示，將力挺FIDO（Fast Identity Online）聯盟推動的支援指紋等生物辨識及FIDO載具的無密碼數位身分認證機制，希望可以取代目前各行各業常使用的簡訊OTP（一次性密碼）的MFA（多因素認證）機制，讓FIDO成為新世代的數位身分認證機制。</p> <p><strong>駭客已經可以繞過傳統多因素認證機制</strong></p> <p>在美國網路安全意識月的重點，其中有一個就是：希望每個人可以確保使用網路各種服務的安全性，包括電子郵件、銀行、各種社交媒體以及需要經過線上驗證身分的各種服務的帳號安全性，並針對相關的線上服務啟動MFA認證機制，而美國總統拜登在去年便下令，要求美國聯邦政府以及所屬機關構，都必須積極推動多因素認證，而FIDO則是被大力推廣的無密碼數位身分認證機制。</p> <p>Jen Easterly表示，有許多行業或是技術領先的業者，都已經率先推動或強制要求使用者採用多因素認證機制，確保線上服務使用者的安全性。但她也引述一份頂尖資訊服務業者的數據指出，只有四分之一的企業客戶已經註冊多因素認證服務；而已經註冊的企業客戶中，更只有大概三分之一的系統管理員（system administrators），使用多因素認證機制確保其數位身分認證的安全性。</p> <p>不過，採用多因素認證機制並不是萬能，過去幾年也陸續發生資安事件，有一些駭客已經可以繞過傳統的多因素認證機制，例如臺灣也曾經發生過的釣魚簡訊，或是其他身分認證App、推送通知等認證機制。</p> <p>她認為，這些繞過MFA的工具包（Toolkit）可以降低駭客的攻擊成本，像是憑證釣魚（Credential phishing）等事件也越來越常見，只要駭客願意花時間、金錢和心力，早晚都可以駭入企業內部，而企業內的每一個人都可能是受駭者。</p> <h2><strong>FIDO私鑰存在使用者端的裝置上，難被駭客破解</strong></h2> <p>因為已經有駭客可以繞過這些傳統的MFA機制，勢必要有新的認證機制取代，而由PayPal、英飛凌，以及Google和微軟等科技大廠組成的FIDO聯盟，則重新打造一個可以對抗網路釣魚的多因素認證機制，而FIDO通訊協定可以應用在現有的作業系統、網路瀏覽器、手機和平板電腦中，也有許多線上服務和各種企業都積極採用並推動FIDO無密碼身分認證機制。</p> <p>Jen Easterly指出，沒有百分之百的安全，再安全的MFA機制都可能遭到破解，不過，因為FIDO無密碼身分認證機制是將公鑰存放在FIDO伺服器中，解密的私鑰則是存放在使用者端的作業系統、瀏覽器、手機或是平板電腦等，「如果員工遭到釣魚郵件的攻擊，駭客因為無法取得使用者端儲存的FIDO私鑰，攻擊也不會成功。」她說。</p> <p>Jen Easterly也鼓勵所有企業的執行長，應該要確保FIDO會在企業系統導入的藍圖內，她更認為，未來FIDO將是多因素認證唯一的標準，企業應該積極跟上這股FIDO浪潮。</p> </div></div></div>
2022/10/21 19:30作者黃彥棻https://www.ithome.com.tw/news/153766
美國CISA力挺FIDO無密碼身分認證機制，將成多因素認證唯一標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年十月，美國白宮都將推動一整個月的「網路安全意識月」（Cybersecurity Awareness Month），身為美國國土安全部的網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）總監Jen Easterly更是積極四處奔波，希望可以提升美國民眾的資安意識。</p> <p>她也於日前（10月18日）公開發文並且於推特錄製影片表示，將力挺FIDO（Fast Identity Online）聯盟推動的支援指紋等生物辨識及FIDO載具的無密碼數位身分認證機制，希望可以取代目前各行各業常使用的簡訊OTP（一次性密碼）的MFA（多因素認證）機制，讓FIDO成為新世代的數位身分認證機制。</p> <p><strong>駭客已經可以繞過傳統多因素認證機制</strong></p> <p>在美國網路安全意識月的重點，其中有一個就是：希望每個人可以確保使用網路各種服務的安全性，包括電子郵件、銀行、各種社交媒體以及需要經過線上驗證身分的各種服務的帳號安全性，並針對相關的線上服務啟動MFA認證機制，而美國總統拜登在去年便下令，要求美國聯邦政府以及所屬機關構，都必須積極推動多因素認證，而FIDO則是被大力推廣的無密碼數位身分認證機制。</p> <p>Jen Easterly表示，有許多行業或是技術領先的業者，都已經率先推動或強制要求使用者採用多因素認證機制，確保線上服務使用者的安全性。但她也引述一份頂尖資訊服務業者的數據指出，只有四分之一的企業客戶已經註冊多因素認證服務；而已經註冊的企業客戶中，更只有大概三分之一的系統管理員（system administrators），使用多因素認證機制確保其數位身分認證的安全性。</p> <p>不過，採用多因素認證機制並不是萬能，過去幾年也陸續發生資安事件，有一些駭客已經可以繞過傳統的多因素認證機制，例如臺灣也曾經發生過的釣魚簡訊，或是其他身分認證App、推送通知等認證機制。</p> <p>她認為，這些繞過MFA的工具包（Toolkit）可以降低駭客的攻擊成本，像是憑證釣魚（Credential phishing）等事件也越來越常見，只要駭客願意花時間、金錢和心力，早晚都可以駭入企業內部，而企業內的每一個人都可能是受駭者。</p> <h2><strong>FIDO私鑰存在使用者端的裝置上，難被駭客破解</strong></h2> <p>因為已經有駭客可以繞過這些傳統的MFA機制，勢必要有新的認證機制取代，而由PayPal、英飛凌，以及Google和微軟等科技大廠組成的FIDO聯盟，則重新打造一個可以對抗網路釣魚的多因素認證機制，而FIDO通訊協定可以應用在現有的作業系統、網路瀏覽器、手機和平板電腦中，也有許多線上服務和各種企業都積極採用並推動FIDO無密碼身分認證機制。</p> <p>Jen Easterly指出，沒有百分之百的安全，再安全的MFA機制都可能遭到破解，不過，因為FIDO無密碼身分認證機制是將公鑰存放在FIDO伺服器中，解密的私鑰則是存放在使用者端的作業系統、瀏覽器、手機或是平板電腦等，「如果員工遭到釣魚郵件的攻擊，駭客因為無法取得使用者端儲存的FIDO私鑰，攻擊也不會成功。」她說。</p> <p>Jen Easterly也鼓勵所有企業的執行長，應該要確保FIDO會在企業系統導入的藍圖內，她更認為，未來FIDO將是多因素認證唯一的標準，企業應該積極跟上這股FIDO浪潮。</p> </div></div></div>
2022/10/21 19:30作者黃彥棻https://www.ithome.com.tw/news/153767
【資安日報】2022年10月21日，WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress最近發布了6.0.3版，當中修補了16個漏洞，但值得留意的是，其中一項漏洞最有機會被利用，原因是攻擊者不需通過身分驗證就能發動攻擊。</p> <p>駭客為了降低受害者的警覺，近年來也會利用一些使用者經常會遇到的真人與機器人程式驗證機制，讓大家誤以為會查核身分的網站就是合法網站。例如，近期發動的Ursnif惡意軟體攻擊，駭客就將惡意檔案放在需要輸入CAPTCHA驗證碼的網頁。</p> <p>小心線上轉檔服務也成為駭客傳播惡意軟體的管道！有人架設冒牌的文件格式轉換服務網站，雖然此網站提供上傳功能，但若是照做，使用者很可能會在電腦裝上竊密軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.mandiant.com/resources/blog/rm3-ldr4-ursnif-banking-fraud"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ldr4-ursnif-fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ldr4-ursnif-fig4.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露近期新的惡意軟體Ursnif變種（LDR4版），研究人員在6月下旬觀察到被用於攻擊行動，駭客主要以人才招募為幌子寄送釣魚郵件，要求收信人點選連結下載Excel檔案。一旦收信人照做，就會被引導至下載網頁，該網頁會要求輸入CAPTCHA驗證碼才能取得。若是收信人開啟此Excel檔案，電腦將會被植入Ursnif。</p> <p>這個惡意程式的用途也有所變化。研究人員表示，過往版本Ursnif的主要功能是金融木馬，新的LDR4則是後門程式，駭客很有可能藉此散布勒索軟體或其他惡意程式。</p> <h3><a href="https://blog.cyble.com/2022/10/14/online-file-converter-phishing-page-spreads-redline-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上轉檔網站也有假的！有人以提供免費轉檔服務散布竊密程式RedLine Stealer</span></strong></a></h3> <p>提供將不同格式文件轉換的網站，現在也成為駭客假冒的對象！資安業者Cyble揭露散播竊密軟體RedLine Stealer的攻擊行動，駭客設置了冒牌的Convertio轉檔網站，一旦使用者依照指示上傳想要轉換的檔案，並選擇輸出格式，該網站就會提供ZIP壓縮檔案，但若是使用者下載到電腦解壓縮，只會看到LNK捷徑檔YourConvertedFile.lnk。</p> <p>一旦執行，電腦就會透過批次檔執行PowerShell命令，在系統內建防毒軟體Microsoft Defender的排除清單當中，加入可執行檔、批次檔，以及C磁碟機，讓系統對這些檔案與儲存位置停止惡意檔案的掃描，然後再下載帶有PDF檔案圖示的YourConvertedFile59417.exe並執行，進而在受害電腦植入RedLine Stealer。</p> <h3><a href="https://healthitsecurity.com/news/3m-advocate-aurora-health-patients-face-phi-exposure-tied-to-tracking-pixels"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又是網站廣告成效追蹤器肇事！美國醫療照護系統Advocate Aurora Health外洩300萬病人資料</span></strong></a></h3> <p>在美國擁有26家醫院的非營利醫療照護系統Advocate Aurora Health，發出公告坦承發生外洩病患資料的事故，起因是為了改善服務而使用Google與Meta等第三方的網路追蹤技術，而外洩了病患的資料，為了謹慎起見，已通知所有病人（約300萬人）。該機構發現，安裝在MyChart、LiveWell及其他預約工具中的追蹤程式，會將特定的病患資訊回傳這些追蹤程式的製造商。</p> <p>而類似的情況已非首例，今年8月，<a href="https://www.ithome.com.tw/news/152683#novanthealth">美國醫療保健供應商Novant Health就因Meta Pixel程式碼配置不當</a>，將132萬名病人健康資料曝露給Meta及其合作夥伴。</p> <h3><a href="https://www.group-ib.com/media-center/press-releases/oldgremlin-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織OldGremlin鎖定俄羅斯Linux主機，發動勒索軟體攻擊</span></strong></a></h3> <p>勒索軟體駭客組織OldGremlin自2020年開始鎖定俄羅斯發動攻擊，過往都是加密Windows電腦，但最近該組織也對Linux主機下手。資安業者Group-IB在調查今年發生的攻擊行動中，發現OldGremlin的主要目標是一臺Linux伺服器，駭客使用了勒索軟體TinyCrypt的變種版本，而這個變種與Windows版本採用的演算法相同，都是使用AES演算法並以RSA-2048非對稱金鑰加密檔案。</p> <p>除此之外，研究人員也發現駭客的入侵手段仍是寄送釣魚郵件，但從原本將惡意軟體挾帶於附件，如今變成引誘受害者從檔案共享服務下載，而難以察覺異狀。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.wordfence.com/blog/2022/10/patch-now-the-wordpress-6-0-3-security-update-contains-important-fixes/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress推出6.0.3版，修補16個漏洞</span></strong></a></h3> <p>內容管理系統WordPress於10月17日發布6.0.3版，當中總共修補了16個漏洞，有4個達到高風險等級。資安業者Wordfence指出，其中最容易被利用的漏洞，是可透過媒體庫SQL注入的跨網站指令碼（XSS）漏洞，CVSS風險評分達8.8分（尚未取得CVE編號），原因是攻擊者不需經過身分驗證就能利用。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/brazil-arrests-suspect-believed-to-be-a-lapsus-gang-member/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴西警方逮捕疑似駭客組織Lapsus$成員</span></strong></a></h3> <p>巴西聯邦警察於8月啟動黑雲行動（Operation Dark Cloud），緝拿2021年橫行巴西政府單位的駭客組織Lapsus$成員，最近有了新的成果，他們於10月19日宣布逮捕了其中一名成員，不過並未公布嫌犯姓名、年齡，或是其他資訊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153728"><span style="color: rgb(0, 0, 0);">上櫃公司大拓日本子公司遭勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.welivesecurity.com/2022/10/20/domestic-kitten-campaign-spying-iranian-citizens-furball-malware/"><span style="color: rgb(0, 0, 0);">伊朗民眾遭到安卓FurBall間諜軟體鎖定</span></a></span></strong></p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-malicious-clicker-found-in-apps-installed-by-20m-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">16款點擊惡意App被下載超過2千萬次</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153685">【2022年10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</a></strong></strong></strong></p> </div></div></div>
2022/10/21 16:57作者周峻佑https://www.ithome.com.tw/news/153764
Stack Overflow力推離線版本支援無法上網的開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stack Overflow推出了<a href="https://stackoverflow.blog/2022/10/20/introducing-the-overflow-offline-project/">Overflow Offline新計畫</a>，並與非營利組織Kiwix合作，確保這個離線版能夠維持更新，且讓需要的人輕鬆取得，該專案開源接受社群貢獻，將繼續提高可讀性，並縮小容量使終端用戶可以更容易使用。</p> <p>Stack Overflow在2019年秋天啟動這個專案，在之前一直是由Kiwix獨立更新離線版本的Stack Overflow，並且也已經將Stack Overflow發送給許多用戶，但是從2018年開始，Kiwix沒辦法再更新Stack Overflow離線版本，所以官方在過去兩年開始提供財務和技術支援，重新使Kiwix能夠繼續這些工作，並且提高教育資源在他們平臺的可用性。</p> <p>Kiwix建立了一支稱為Sotoki（Stack Overflow to Kiwix）的爬蟲程式，可以從180個Stack Exchange網站的更新。這個專案在新冠肺炎疫情期間一度中止，但現在已經有階段性成果可以發表，且希望往後能以開源專案的形式繼續發展。</p> <p>即便現在的網路如此普遍且發達，但仍有許多環境無法自由的存取網路，Overflow Offline計畫的合作組織之一Unlocked Labs便是其中一個例子，Unlocked Labs支援了美國密蘇里州監獄的程式開發教育，使無法自由上網的受刑人，在監獄中可以獲得更多教育機會。</p> <p>在科學界也有離線Stack Overflow的需求，像是遠在南極的研究站，研究人員透過觀測微中子來研究宇宙，他們需要編寫大量的Python程式碼，在需要對叢集進行重大變更的時候，常會遭遇問題，便需要Stack Overflow尋求解決辦法。</p> <p>Overflow Offline還有一個用例是在網路資源不足的地區，協助學生完成回家作業，像是喀麥隆共和國網路覆蓋率只有34％，幾乎沒有大學能夠負擔為學生提供免費Wi-Fi的費用，學生平常只能使用自己昂貴的行動網路上網，Overflow Offline能夠離線存放在教育資源儲存裝置EduAirBox中，供學生下載使用。</p> </div></div></div>
2022/10/21 16:28作者李建興https://www.ithome.com.tw/news/153760
Meta Pixel肇事！美國醫療照護系統Advocate Aurora Health外洩300萬病患資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國擁有26家醫院的非營利醫療照護系統<a href="https://www.advocateaurorahealth.org/pixel-notification/" target="_blank">Advocate Aurora Health在本周坦承</a>，該系統因為使用了Google與Meta等第三方的網路追蹤技術，而外洩了病患的資料，為了謹慎起見，已通知300萬名所有病患。</p> <p>Advocate Aurora Health說明，該系統會在特定網站或應用中嵌入Meta Pixel或來自Google的追蹤程式，以記錄網站與使用者的互動，藉以評估病患的偏好與趨勢，並用來改善服務。</p> <p>然而，Advocate Aurora Health卻發現安裝在MyChart、LiveWell及其它預約工具中的追蹤程式，會將特定的病患資訊回傳給這些追蹤程式的製造商。</p> <p>所回傳的資料多寡或型態則根據使用者的瀏覽器品牌、瀏覽器配置、有否具備Facebook與Google帳號、是否登入而有所不同，可能牽涉到使用者的IP位址、使用時間、預約位置、與他人透過MyChart的通訊、名字、醫療編號或有否保險等。但可能外洩的資料並未包含社會安全碼或金融資訊。</p> <p>事實上，這應該只是Meta Pixel所引起的外洩風波之一。非營利的媒體組織<a href="https://www.ithome.com.tw/news/151490" target="_blank">《The Markup》</a>曾於今年6月踢爆，美國前一百大醫院中，有33家醫院的網站安裝了Meta Pixel，而且會把使用者的資訊回傳給Meta。</p> <p>上周，美國另一醫療照護系統<a href="https://www.wakemed.org/about-us/news-and-media/wakemed-news-releases/wakemed-notifies-patients-of-potential-data-privacy-incident" target="_blank">WakeMed Health and Hospitals</a>也點名Meta Pixel使得它們外洩了病患資料。</p> <p>從Advocate Aurora Health的說法來看，涉及外洩資料的並不只是Meta Pixel，也包括其它品牌的追蹤程式，但至少並未發現有任何病患資料因此而遭到濫用。此外，遭到波及的醫療系統或醫院皆已自系統上移除這些追蹤程式。</p> </div></div></div>
2022/10/21 16:34作者陳曉莉https://www.ithome.com.tw/news/153763
微軟開放高階著色器語言HLSL計畫程序，期望社群貢獻語言功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/opening-hlsl-planning/">微軟宣布</a>要透過引進新的公共語言功能計畫程序，來擴展高階著色器語言HLSL社群，新程序託管在GitHub上，希望借助社群的力量發展新的語言功能。這是開發團隊參考Rust和Swift開放語言設計流程，而做出的決定。</p> <p>在2017年初，DirectX著色器編譯器（DirectX Shader Compiler，DXC）在GitHub上開源，而DXC是以Clang的LLVM 3.7作為基礎，其支援強大的開發和語言工具，使HLSL能夠包含許多重要的功能，包括C++模板和運算子重載。</p> <p>在今年的時候，HLSL編譯器團隊宣布替Clang提供HLSL支援，這項決定將推進開源軟體開發，並且強化HLSL工具和語言的發展，而現在微軟又進一步開放HLSL計畫程序，期望透過社群的力量來改進HLSL，相當於釋出一小部分HLSL發展的決策權。</p> <p>但是微軟在這部分有一些但書，官方強調，並非所有HLSL功能都可以經過這個程序決定，添加到HLSL的部分功能，由微軟內部團隊根據與硬體供應商協調的保密協議進行，這些功能就不會公開在GitHub上。</p> <p>另外，微軟在這個程序引入了一個目標聲明，使社群能專注於語言發展，這項目標聲明可能因每個版本改變，以符合產業不斷變化的需求。開發者有兩種方式可以參與貢獻，其一是針對儲存庫提交GitHub問題，而對於想要在設計語言功能扮演更積極角色的開發者，可以使用模板編寫提案並提交拉取請求。</p> <p>新程序的提案會提交到新的HLSL-Specs儲存庫，新合併的提案會從「值得考慮」狀態開始，微軟提到，這些提案必須對用戶有用，且和即將推出的HLSL版本目標一致。值得考慮的提案經批准後會合併到儲存庫中，進行更廣泛的協作，當功能描述完成後，提案還會廣泛徵求貢獻者和微軟合作夥伴的回饋。</p> <p>被接受的提案不一定會在特定的版本發布，微軟會視情況推延並且重新評估，當功能與HLSL語言發展目標不一致，且未來不太可能改變時，微軟便會拒絕提案，並且針對提案提供詳細的拒絕說明，以便相同提案在未來重新被提出，有更多資料可供參考。</p> </div></div></div>
2022/10/21 16:37作者李建興https://www.ithome.com.tw/news/153761
Cloud CDN供用戶自定義快取鍵以增進CDN效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/networking/cloud-cdn-launches-dynamic-compression-and-custom-cache-keys">Google更新Cloud CDN工具與功能</a>，使用戶能進一步微調網頁服務效能。Cloud CDN現在開始預覽動態壓縮功能，CDN服務將會自動減少從邊緣傳輸到客戶端的回應大小，即便來源伺服器沒有壓縮，Cloud CDN也會主動壓縮這些資源，官方提到，在流行的CSS和Javascript檔案上，動態壓縮可以將回應大小縮小60％到80％。</p> <p>無論是對網頁服務或是終端用戶，都可以從動態壓縮功能獲益，透過縮減CSS和Javascript資源內容大小，可以減少第一次內容繪製和頁面載入時間，而且當網頁具有大量可壓縮的內容，透過動態壓縮功能，還可節省快取流量出口成本。</p> <p>Cloud CDN目前可以對HTML、CSS、Javascript、JSON、HLS播放列表，以及DASH清單等網頁資源，執行gzip和Brotli壓縮。</p> <p>Cloud CDN還讓用戶可以自定義快取鍵，以提高CDN效能。Google解釋，當請求到達CDN邊緣時，請求會映射至快取鍵，並且與快取中的項目進行比較，在預設情況下，CDN使用URI的協定、主機、路徑和查詢字串來定義快取鍵。</p> <p>而自定義快取鍵新功能可以讓用戶更好地控制快取行為，以提高快取命中率和來源分流，Cloud CDN支援命名標頭和Cookie作為快取鍵，官方提到，當用戶的網頁服務實作A/B或金絲雀測試，命名Cookie將可派上用場。</p> <p>另外Cloud CDN針對Cloud Storage的URI參數允許清單，讓用戶可以實現快取破壞（Cache Busting），官方解釋，這是一種快取政策，即便舊版本快取仍處於活躍狀態，終端用戶也能夠存取到快取資源中最新的版本，透過將版本查詢參數加入到允許列表中，用戶就不需要明確配置使舊快取失效。</p> </div></div></div>
2022/10/21 16:40作者李建興https://www.ithome.com.tw/news/153762
微軟Azure測試中小企業DDoS防護服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/enterprisegrade-ddos-protection-for-smbs-now-available-in-preview/" target="_blank">微軟本周宣布將測試</a>為中小企業設計的雲端DDoS攻擊防護方案Azure DDoS IP保護（DDoS IP Protection）。</p> <p>微軟指出，不只是大型企業會遭到DDoS攻擊，中小企業也是網路歹徒的目標，然而不同於大型企業，中小企業往往欠缺對抗DDoS攻擊的預算及人員。</p> <p>微軟在上周Ignite大會上首度宣布將原本適用於大型企業的Azure DDoS IP保護，另設計出適合中小企業的SKU。未來針對大型企業的DDoS防護方案，將由Azure DDoS Protection Standard改名為Azure DDoS網路保護（Azure DDoS Network Protection），Azure DDoS IP保護則專指中小企業用的版本。</p> <p>現在這項方案以預覽版上線。微軟宣稱中小企業版DDoS IP保護以可負擔的價位提供企業DDoS防護。</p> <p>Azure DDoS IP保護SMB版提供和大型企業版同樣的核心功能，包括L3/L4層自動攻擊偵測和緩解、幾近即時的記錄量測及警示、緩解流程紀錄、可為企業應用適應性調校（adaptive tuning）的緩解規則。它還可和微軟其他安全服務，如Azure Firewall Manager、統一管理介面Sentinel及Defender for Cloud緊密整合。</p> <p class="rtecenter"><a href="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/cf8bc522-5e83-4a10-9d88-2baaec2ec365.png" target="_blank"><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/cf8bc522-5e83-4a10-9d88-2baaec2ec365.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟說，Azure DDoS IP保護可為個別公開IP位址提供DDoS防護，因此對只有幾個公開IP位址的中小企業來說相當適用。之前大型企業版僅提供100個公用IP資源為單位的定價，每100個IP每月2,944臺幣，超出者每月每個IP 29.5臺幣。</p> <p>這項方案目前僅在美、歐、南非、中東及澳、日、韓上線。<a href="https://azure.microsoft.com/pricing/details/ddos-protection" target="_blank">價格方面</a>，DDoS IP保護以要保護的公用IP位址計價。臺灣地區的單一公用IP授權價要到11月1日才會公布。</p> <p>微軟現在開放企業試用，預計2023年2月1日才開始收費。目前僅透<a href="http://preview.portal.azure.com" target="_blank">過Azure預覽入口網站</a>登入試用，很快會開放從Azure Portal登入。</p> </div></div></div>
2022/10/21 14:35作者林妍溱https://www.ithome.com.tw/news/153758
Windows Subsystem for Android將支援Android 13
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/10/20/update-to-windows-subsystem-for-android-on-windows-11-october-2022/" target="_blank">微軟本周針對Dev與Beta頻道更新</a>了Windows 11上的 Windows Subsystem for Android（WSA），並悄悄地<a href="https://github.com/microsoft/WSA" target="_blank">於GitHub上公布WSA的未來發展藍圖</a>，透露出它將支援Android 13，也會有傳檔、捷徑、子母畫面，以及預設的本地網路存取功能。</p> <p class="rtecenter"><a href="http://github.com/microsoft/WSA" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1021-Windows%20Subsystem%20for%20Android%20Developers-Future%20Roadmap%20on%20GitHub.png" style="width: 550px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>WSA將允許使用者於Windows裝置上執行Android程式，現在主要與Amazon合作，<a href="https://apps.microsoft.com/store/detail/windows-subsystem-for-android%E2%84%A2-with-amazon-appstore/9P3395VX91NR?hl=en-us&gl=us" target="_blank">Windows 11用戶可透過Microsoft Store</a>安裝Amazon Appstore，在安裝Amazon Appstore的過程中，系統即會提醒使用者安裝WSA。微軟已於全球31個國家支援Amazon Appstore的下載及安裝，提供逾2萬種的Android程式。</p> <p>現在的WSA所支援的Android版本為Android 12.1（Android 12L），本周的更新改善了剪貼簿的穩定性、圖像串流的安全性、多執行緒效能，以及升級至Chromium WebView 105與執行Linux核心的安全更新等。</p> <p>而在未來的WSA藍圖中，除了將支援Android 13之外，新增的傳檔功能可望讓使用者於Android容器與Windows之間互傳檔案。</p> <p>迄今微軟並未透露究竟有多少Windows用戶下載並安裝了Amazon Appstore與WSA。</p> </div></div></div>
2022/10/21 14:50作者陳曉莉https://www.ithome.com.tw/news/153759
Google擅自蒐集人臉及語音辨識資料，遭德州控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.texasattorneygeneral.gov/sites/default/files/images/press/The%20State%20Of%20Texas's%20Petition%20(Google%20Biometrics).pdf" target="_blank">德州檢察長Ken Paxton本周控告Google侵犯當地的隱私法令</a>，在未取得德州民眾的同意下，就透過 Google Photos、Google Assistant與Nest Hub Max等服務或裝置，蒐集數百萬民眾的人臉及語音辨識資料。</p> <p>Paxton於訴狀中指出，至少自2015年起，Google便擅自蒐集德州民眾的資料，許多德州民眾並沒有意識到提供自己的獨特個人特徵，會對Google的營收帶來貢獻，不僅如此，這些個人生物特徵的擴散亦具危險性，因為它們是獨特的，倘若遭竊並不能簡單地刪除或替換。</p> <p>至於Paxton認為Google違反當地隱私法令的具體行為之一，<a href="https://support.google.com/photos/answer/11965565?hl=en" target="_blank">為Google Photos中所提供的人臉分組（Face Grouping）功能</a>，系統會偵測相簿中的人臉，之後建立人臉模型，再把同樣或類似的人臉聚集在一起，亦即可根據人臉特徵進行自動化分類。</p> <p>另一個例子則是已被應用在汽車、手機、平板電腦或智慧家庭裝置的語音助理Google Assistant。Paxton指出，當使用者啟用Google Assistant時，Google會紀錄所聽到的聲音，並加以分析，以建立用戶的聲音檔案，也會用來優化Google Assistant的反應，且Google透過聲音就能識別說話的對象。</p> <p>或許Google會在提供聲音辨識服務之前詢問使用者，但訴狀指出，Google所紀錄的不只是Google Assistant用戶的聲音，舉凡是偶然經過或出現聲音的朋友、孩子、客人或父母的聲音都會被紀錄。</p> <p>德州認為Google為了自己的商業利益而濫用當地使用者的個人資訊，是故意違反該州的《取得或使用生物識別法令》（Capture or Use of Biometric Identifier Act）。</p> </div></div></div>
2022/10/21 12:10作者陳曉莉https://www.ithome.com.tw/news/153756
資助烏克蘭太燒錢？SpaceX開設捐贈Starlink選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克旗下SpaceX將開設捐贈方案，計畫以此推動公益用途的Starlink服務部署。</p> <p>上周提供非洲轉帳服務App的Chipper.com在推特宣傳，近日捐款幫助烏干達學校或醫院架設Starlink，引發馬斯克（Elon Musk）回應問道，有沒有其他人願意捐贈，以便將Starlink部署於有需要的地方。<a href="https://twitter.com/elonmusk/status/1581903277347999744" target="_blank">他隨後推文宣布</a>，SpaceX決定為Starlink增加捐贈選項。</p> <p>不確定這項宣布是否和資助烏克蘭衛星連網服務有關。今年3月俄烏戰事爆發之際，<a href="https://www.ithome.com.tw/news/149581" target="_blank">SpaceX宣布</a>免費提供Starlink作為受戰事影響地區人員的對外通訊管道。但上周<a href="https://edition.cnn.com/2022/10/13/politics/elon-musk-spacex-starlink-ukraine/index.html" target="_blank">CNN報導</a>，SpaceX政府業務主管9月間致函美國國防部，希望對方能提供每月數千萬的財務支持，否則SpaceX對烏克蘭的免費Starlink僅提供到今年底，理由是該公司從今年3月到年底已投入1.2億美元，未來12個月更將達到4億美元。</p> <p><a href="https://twitter.com/elonmusk/status/1578433482757271552" target="_blank">馬斯克對此也說明</a>，為了提供烏克蘭免費服務，SpaceX迄今已投入8千萬美元，年底可能超過1億美元。不過消息見報後，<a href="https://twitter.com/elonmusk/status/1581345747777179651" target="_blank">馬斯克上周又改口說</a>雖然SpaceX仍然處於虧損狀態，但該公司還是會繼續提供服務。</p> <p>在公布Starlink捐贈選項同時，馬斯克仍然表明烏克蘭地區的開銷很大，<a href="https://twitter.com/elonmusk/status/1582098412501364736" target="_blank">他說</a>，目前送往烏克蘭的地面基地臺已經達25,300個，但其中僅10,630個是有付費的。</p> <p>另一方面，媒體報導，<a href="https://www.theguardian.com/world/2022/oct/17/pentagon-starlink-ukraine-musk-funding" target="_blank">美國國防部</a>已經考慮要撥款。<a href="https://www.ft.com/content/73a4b1b8-b266-40f2-af66-ea9f69a40a7e" target="_blank">此外《金融時報》報導</a>，歐盟也考慮出資。<a href="https://twitter.com/elonmusk/status/1582097354576265217" target="_blank">但根據馬斯克的說法</a>，SpaceX已經撤回對國防部的資金申請。</p> </div></div></div>
2022/10/21 12:26作者林妍溱https://www.ithome.com.tw/news/153757
搶進聽覺輔助器市場的破壞者們
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-1p-ce_lue_zhuan_zhe_dian_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>若干年前，葛洛夫（Andy Grove）在他的經典之作《10倍速時代》中，介紹策略轉折點（strategic inflection point）的概念，指出「策略轉折點是指一個企業的基本構成要素即將發生變化的時候。」許多人的確是以這樣的方式體驗到轉折點──就在此刻一切出現不可逆的變化。</p> <p>然而，探究策略轉折點真正的本質後，就會看見不同的故事。情況類似於海明威的《太陽依舊升起》（The Sun AlsoRises）中，小說人物邁克回答自己是如何破產的。「先是漸漸的，」邁克描述，「接著突然發生。」轉折點指的是商業環境發生變化，大幅改變你的活動中的某個元素，造成原本理所當然的假設，開始搖搖欲墜。</p> <p>想像一下，有一個部門僅服務五分之一的潛在顧客。現在再想像，有一個重大改變將造成競爭者不必冒多少險，就能以利潤極高的方式，滿足剩下的需求。想像一下，那個部門的年營收大約是80億美元，而過了轉折點後，營收將是5倍。換句話說，轉折點發威時，競爭者要是夠聰明、富有遠見，身處正確的位置，就能搶占400億左右的營收。</p> <p><span style="font-size:28px;"><strong>聽力障礙的潛在市場</strong></span></p> <p>剛才描述的是真實存在的部門，也就是製造、開醫囑與驗配助聽器的事業。如果以協助有需要的民眾取得助聽器的標準來看，這個部門表現得相當不理想。研究人員指出，55歲至74歲能受益於助聽器的成人，80%沒有助聽器。就算有，許多人根本不戴。</p> <p>這一塊的健康照護市場生態有多不便。首先，助聽器價格不菲。然而，錢不是唯一的問題。美國的傳統助聽器事業由「食品藥物管理局」（FDA）管理，而現任者又牢牢把控著技術。聽力師、遊說聯盟，以及屈指可數的幾家製造助聽器的公司，嚴重限制了聽力患者擁有的選項。現有的助聽器公司堅稱，對所有的患者來講，「黃金標準」才是最好的。如同某位觀察家所言，意思就是說你一定得過五關斬六將，接受一連串的診斷評估後，才能購買助聽器，包括耳鏡與骨導測試、噪音辨識語音測試、真耳測試／語音地圖（real-ear measurement/speech mapping）、聽力復健，以及實地選配助聽器。許多人就算有辦法走完這套流程，他們也感到有夠麻煩。</p> <p>最後還有社會汙名的問題。民眾不喜歡戴助聽器的原因是擔心「顯老」。儘管證據強烈顯示他們需要聽力協助，要承認這種事很難。傳統型的助聽器通常外型醜陋突兀，有的甚至很吵，反正跟酷沾不上邊就對了。</p> <p>戴不戴助聽器不是小事。約翰霍普金斯醫院（JohnsHopkins）的佛朗克•林（Frank Lin）所做的研究發現，聽力喪失涉及發展中的失智症、社交隔離的風險上升，甚至與跌倒風險增加有關。未矯正的聽力喪失會讓最終的治療更難成功。此外，試圖聽清別人在說什麼，還會增加大腦的認知負荷，這顯然是牽一髮而動全身的社會與健康問題。</p> <p><span style="font-size:28px;"><strong>蓄勢待發的轉折點</strong></span></p> <p>助聽器事業的商業模式問題重重，然而自FDA在1977年將助聽器列為醫療器材後，那個模式就幾乎不曾變過。助聽器先前通常被視為消費品，而部分品味不佳又誤導民眾的廣告和名人推薦，又強化了助聽器的市場定位。同一時間，通常將耳內式助聽器（需要放進個人的耳朵）交給聽力師銷售的做法，開始成為常態。由於市面上出現誤導人的宣稱，再加上一些不太理想的做法，利益團體開始提出警訊，促使FDA將助聽器列為醫療器材，必須遵守高度嚴格的製造與驗配規範。</p> <p>高度受到管制（與高利潤）的助聽器事業目前的轉折點，源自2003年的兩份FDA公民請願書。FDA的公民請願書，本意是為了方便個人與社群組織請求改變健康照護政策的流程。請願書本身並未立刻影響到助聽器的管理方式，但象徵著民意發生變化，推動相關器材走向「老花眼鏡」目前的做法，也就是隸屬於非處方藥項目，不需要處方箋便能販售的矯正鏡片。</p> <p>不過，市場既存者不會坐以待斃。美國聽力學會（American Academy of Audiology）等團體建議，凡是能放大聲音的裝置都該納入FDA規範。按照字面的意思，那麼就連耳塞式耳機與頭戴式耳機，所有的東西都得納入管制。</p> <p>儘管有著學會這方的勢力，消費者承受的成本與態度強硬的既存者，引發立志改革體系的特殊結盟。學會煞費苦心保留的監管架構，在2017年首度開始動搖。在典型的克里斯汀生風格的破壞中，新型技術證實已經「夠好」，正在觸及能受惠於聽力改善的客層。這就是克里斯汀生經常談的「與不使用競爭」（competing with non-use）。</p> <p><span style="font-size:28px;"><strong>破壞者搶進聽覺輔助產品版圖</strong></span></p> <p>雖然不是在販售助聽器──天啊，絕無此事──市場上不乏廠商提供業界所謂的「個人聲音放大器」（personalsound amplification product，PSAP）。這類產品不受FDA管制，只要想買就能買。更讓傳統的助聽器廠商擔憂的是，許多PSAP聽力輔助應用，效果其實不差，甚至更勝一籌。</p> <p>舉例來說，經典的擴音器與抗噪耳機製造商Bose，目前製造一款叫「Hearphone」的產品，售價在500美元左右。雖然這項產品的廣告，聽起來非常像是瞄準聽力受損的民眾（「我們希望協助您聽清對話中的每一個字」），Bose一度強調那些裝置「絕不是助聽器」，以避開FDA的監管。然而，Bose在2018年取得製造無需處方的自驗配助聽器許可，其他龍頭廠商也紛紛湧進市場，包括三星的Gear IconX耳機與蘋果的AirPods等等。那樣的無線耳機能讓你聽音樂、替運動計時，還恰巧可以連至手機或其他裝置上的聽覺功能app。此外，數十家新公司也帶著協助工具，進入輔助產品市場，例如：Fennex、Petralex與Here One。在新創公司方面，Eargo這項產品的靈感來自飛蠅釣，打造出真正的助聽器，你可以自行挑選，網路上即可購買，價格與人們較為熟悉的電子產品差不多。</p> <p><span style="font-size:28px;"><strong>從80億到400億美元的市場</strong></span></p> <p>不過講真的，為了一個向來乏人問津的市場，需要那麼激動，花費那麼大的力氣嗎？</p> <p>嗯⋯⋯專家預測，即便是在目前必須接受監管的制度下，聽覺輔助產品事業在2019年可達80億美元。有的人說到了2023年會超過90億，而這正是策略轉折點值得留意的地方。從前很麻煩又昂貴的物品，如果變得方便又便宜，結果通常是需求暴增。從統計數字推論一下便可得知，聽力需要協助的人士，今日僅五分之一擁有助聽器，那麼等過了轉折點，人人皆可取得能自行調整、外觀又低調的聽覺輔助產品後，市場一下子可能是5倍大，或達400億。</p> <p>此外，如同智慧型手機改變民眾的手機使用方式，聽覺輔助產品的用例可能產生相當巨大的改變。</p> <p>正如今日每個人可能不只擁有一副眼鏡，民眾有可能不只購買一副助聽耳機。或許星期五晚上出門用餐戴的助聽耳機，外型與功能不同於星期日下午參加運動比賽的助聽耳機，甚至在家看電視也戴不一樣的。某樣東西一旦價格夠便宜，將有無限的可能性。<strong><span style="color:#696969;">（本文摘錄整理自《策略轉折點競爭優勢》，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_%E7%AD%96%E7%95%A5%E8%BD%89%E6%8A%98%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.png" style="width: 299px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／天下雜誌出版</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span> </span></strong><span style="color: rgb(51, 153, 255);"><strong>策略轉折點競爭優勢</strong></span></p> <p>莉塔．岡瑟．麥奎斯（Rita Gunther McGrath）／著</p> <p>許恬寧／譯</p> <p>天下雜誌出版</p> <p>定價：450元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%AD%96%E7%95%A5%E8%BD%89%E6%8A%98%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.jpg" style="width: 200px;" /></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／天下雜誌出版</span></p> <p><strong>莉塔．岡瑟．麥奎斯（Rita Gunther McGrath）</strong></p> <p>麥奎斯是全球知名強調企業進取創業精神的策略、創新與成長專家。她長期任教於哥倫比亞大學商學院，持續名列Thinkers50前十大管理思想家，同時是耶魯執行長高峰會（Yale CEO Summit）、Innosight執行長高峰會（Innosight CEO Summit）、達沃斯世界經濟論壇（World Economic Forum）等企業活動爭相聘請的講者。</p> </div></div></div>
2022/10/21 12:50未署名https://www.ithome.com.tw/article/153751
提升隱形防護力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於資安防護的作法，過去我們多次談到能見度（Visibility）的重要性，強調知己知彼的意義，不僅要掌握外部威脅態勢，也要有自知之明，須了解與管理自身的弱點與攻擊面（Attack Surface），這是「明（Visible）」的策略，但其實我們也能應用「暗（Invisible）」的策略，這裡所指的並不是主動攻擊駭客與惡意軟體組織、以攻為守，而是善用「內隱」的作法推動資安。</p> <p>這樣的觀念相當有意思，我們是最近從Google Cloud聽到的。在他們年度用戶大會Next臺灣媒體聚會上，臺灣技術副總林書平介紹今年新推出的資安解決方案之際，特別提到他們的隱形安全防護（Invisible Security）原則，包含技術、營運、人才、風險等四大面向，蘊含該公司對於資安的理念與展望，並以此突顯與其他業者的差異。</p> <p>在技術層面上，他們強調資安應該要從附加（Bolt-on）轉為預設啟用，讓資安能夠嵌入、深入產品與服務當中，實現工程等級的改良，這部分可呼應許多資安界領袖所提倡的「始於安全設計（Security by Design）」；在營運方面上，資安應該要從手動轉為自動，將原本分散各處、片段化進行個別人工的處理，提升為自動化作業，甚至能夠實現自治（Autonomic）；在人才方面，資安應該從專門走向普及，降低進入門檻與使用困難性，讓更多人都能參與、投入；在風險方面，資安應該從責任的共享走向風險的共享，的確，在資安的領域，大家不應該只是在找出誰該為何事負責，而是充分體認彼此是命運共同體，強化合作。</p> <p>面對前三個層面，整個資安界都有共識，堪稱是主流價值，至於風險的共享，其實也不難想像，但這無疑是超越了現行雲端服務業者長期對客戶傳達的資安觀念。事實上，雲端廠商過往總是強調雙方須共同承擔雲端安全的「責任」，這種說詞相當刺耳，然而，若是以共同承擔「風險」來溝通彼此須緊密合作的必要性，相信會贏得更多客戶的支持。</p> <p>關於這樣的資安願景，Google Cloud最早應該是在去年7月舉辦的資安高峰會提出，在這一年多來，他們也陸續併購了Siemplify、Mandiant等知名的資安公司，推出多種解決方案，例如，網路入侵偵測系統Cloud IDS、資安維運服務Chronicle、開源軟體資安服務Assured Open Source Software、機密協同運作服務Confidential Space、軟體供應鏈安全服務Software Delivery Shield，同時，也持續更新零信任資安服務BeyondCorp Enterprise，以及防自動化詐欺服務reCAPTCHA Enterprise。</p> <p>關於隱形防護的思考，我們除了可借鏡Google Cloud提出的這個觀念，透過改變功能設計、操作方式、人力資源，以及合作模式，過往在網路安全防護的應用上，我們也看到廠商陸續實作出一些技術，也能呼應所謂的隱形防護。</p> <p>舉例來說，在企業級端點防護系統的市場，隨著網路威脅的日益猖獗，許多防毒軟體廠商開始將個人防火牆、主機型入侵防禦系統（HIPS），內建在他們的產品當中，有些會提供所謂的匿蹤模式（Stealth Mode），避免被惡意軟體發動的網路掃描找到，而使得個人電腦的IP位址與開放的通訊埠曝光。</p> <p>另外，為了以系統化的方法來因應猖獗多年的進階持續性攻擊（APT），在資安領域當中，除了大家所熟知的沙箱檢測防護（Sandboxing）之外，也陸續出現蜜罐（Honeypot），以及欺敵（Deception）等誘捕系統，透過設下誘餌，及早捕捉駭客活動的蹤跡，廣義而言，這些也可說是一種隱形防護的策略。</p> <p>綜合這些看法，企業思考資安防護對策時，無論是儲備外顯的防禦與應變機制，或是累積各種內隱的深層強化與厚植實力，這些都是必須一起考量的，才能充分因應各種挑戰。雖然攻擊來臨時，總是處於敵暗我明的狀態，讓人擔憂自己處於相對失利的位置，不過，若策略運用得宜，我們仍可讓攻擊方白費工夫，徒勞無功，進而知難而退。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E8%83%BD%E8%A6%8B%E5%BA%A6">資安能見度</a></div><div class="field-item even"><a href="/tags/%E9%9A%B1%E5%BD%A2%E5%AE%89%E5%85%A8%E9%98%B2%E8%AD%B7">隱形安全防護</a></div><div class="field-item odd"><a href="/tags/invisible-security">Invisible Security</a></div><div class="field-item even"><a href="/tags/google-cloud">Google Cloud</a></div></div></div>
2022/10/21 11:13作者李宗翰https://www.ithome.com.tw/voice/153745
巴西警方逮捕一名駭客組織Lapsus$成員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.br/pf/pt-br/assuntos/noticias/2022/10/pf-prende-brasileiro-suspeito-de-integrar-organizacao-criminosa-internacional" target="_blank">巴西聯邦警察本周宣布</a>，年初駭入Nvidia、三星等知名公司的駭客組織Lapsus$一名成員，上周遭到警方逮捕。</p> <p>巴西警方是在8月間啟動一項名為黑雲行動（Operation Dark Cloud）的計畫，以調查並緝拿2021年間駭入多個巴西政府單位的駭客組織Lapsus$成員。2021年底Lapsus$因駭入巴西衛生部而成名，該群駭客不但外洩數十萬筆資訊，也駭入該國疫苗接種證明網站。之後還接連入侵巴西經濟部、聯邦高速公路警局、及審計長辦公室等十多個政府組織、以及巴西郵電總局。此外當地及南美多家知名企業也遭Lapsus$毒手。</p> <p>不過Lapsus$真正為人所知的是<a href="https://www.ithome.com.tw/news/150067" target="_blank">今年3月間入侵Nvidia、三星、微軟、Ubisoft等全球大企業</a>。和一般駭客不同，這群駭客會在作案後透過Telegram頻道公布受害公司的系統擷圖，還會事先公布欲駭入的對象名單，<a href="https://www.ithome.com.tw/news/149841" target="_blank">並以重金利誘這些公司的員工作為其內應</a>。</p> <p>安全研究人員追查發現Lapsus$是一群青少年，可能分處於英國及巴西，並研判Lapsus$首腦是一名住在牛津的16歲青少年等。<a href="https://www.ithome.com.tw/news/150099" target="_blank">英國警方於3月間逮捕7名疑似與Lapsus$有關的青少年</a>。</p> <p>巴西警方並未公布嫌犯的姓名、年紀或其他資訊。警方只說明，Lapsus$涉嫌入侵電腦、擾亂電信、電報及電話設備、以及腐化未成年人及洗錢等行為。</p> </div></div></div>
2022/10/21 11:58作者林妍溱https://www.ithome.com.tw/news/153754
馬斯克傳想裁掉近75%的推特員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.washingtonpost.com/technology/2022/10/20/musk-twitter-acquisition-staff-cuts/" target="_blank">《華盛頓郵報》報導</a>，正準備完成收購社交平臺推特（Twitter）的馬斯克，計畫裁減推特近75%的員工以刪減營運成本。</p> <p>媒體取得一份馬斯克近日對投資人簡報的相關文件，顯示馬斯克將採取激烈的手段，裁減推特7,500名人力的75%，以利收購進行。</p> <p>在推特董事會使出官司手段後，<a href="https://www.ithome.com.tw/news/153462" target="_blank">馬斯克本月初</a>宣布將以4月預定的每股54.2美元，總價440億美元收購推特。根據雙方協議，馬斯克必須在10月28日之前完成收購。</p> <p>馬斯克最早曾對投資人說明這家社交平臺的潛力規模超過目前價值，他計畫三年內將推特營收翻倍。而被迫買下推特後，馬斯克似乎有些許不甘。在本周的特斯拉財報會議上，<a href="https://www.theverge.com/2022/10/20/23414347/elon-musk-tesla-earnings-twitter-cybertruck-fsd-twitter" target="_blank">馬斯克談及推特時指出</a>，自己和投資人都覺得在推特收購上出價過高。</p> <p>但報導指出，就算公司持有人不是馬斯克，推特也計畫精簡人力。管理階層計畫年底前裁減25%的人力，以節省8億美元薪資成本。此外推特也打算縮減基礎架構，包括關閉一座提供每日2億用戶服務的資料中心。</p> <p>而這也說明了何以推特管理階層急於將公司賣給馬斯克，以免自己要當裁員的壞人。但是這麼大規模的裁員勢必影響推特現有平臺安全性及秩序。報導引述一名曾在推特負責垃圾郵件管理的前員工指出，如果員工數裁到馬斯克希望的規模，可能讓推特用戶面臨被駭風險，以及平臺將出現大量暴力、色情內容，而且可能經常斷線或出現錯誤。</p> <p>不過對馬斯克而言，公司獲利及營收才是重點。<a href="https://www.cnbc.com/2022/10/19/tesla-tsla-earnings-q3-2022-.html" target="_blank">馬斯克的特斯拉本周公布財報</a>，受景氣轉冷影響，雖然公司獲利33億美元較去年同期成長，但營收及出貨量未達市場預期。外界相信，大環境因素才是馬斯克在推特收購案上反悔的主因。</p> <p>消息人士指出，推特收購案協議順利進行中，沒有意外的話，本月底馬斯克就會成為推特的新老闆。</p> </div></div></div>
2022/10/21 10:28作者林妍溱https://www.ithome.com.tw/news/153743
YouTube Premium家庭方案漲價了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Flyinace2000/status/1583211803299188736" target="_blank">YouTube Premium用戶最近開始收到漲價通知</a>，顯示YouTube Premium家庭方案即將開始漲價，從每月17.99美元漲至22.99美元，漲幅為25%，此一價格調漲策略似乎未波及其它方案，也未遍及所有市場，而是從美國、加拿大、英國、阿根廷、土耳其及日本起漲。</p> <p>YouTube在2014年即開始推出付費服務，當時名為Music Key，並在2015年更名為YouTube Red，再於2018年改為YouTube Premium，此一付費訂閱服務提供無廣告的YouTube Music與YouTube影片播放服務，還有離線與背景播放功能，其學生方案的每月訂閱費用為6.99美元（臺灣是109元新臺幣），個人方案為11.99美元（179元新臺幣），可供6人使用的家庭方案則是17.99美元（269元新臺幣）。</p> <p>根據外電報導，有些使用者被要求自下個月就要支付更高的費率，有些已訂閱數年的忠實用戶，則一直到明年4月才適用於新費率。</p> <p><a href="https://blog.youtube/news-and-events/50-million/" target="_blank">YouTube曾於去年9月揭露</a>，其全球YouTube Music/Premium訂閱用戶已達5,000萬，之後即未再更新相關數據。</p> </div></div></div>
2022/10/21 11:06作者陳曉莉https://www.ithome.com.tw/news/153750
Android 13 Go版本來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年8月15日<a href="https://blog.google/products/android/android-13/" target="_blank">發布了Android 13正式版</a>，專供低階手機使用的<a href="https://blog.google/products/android/android-13-go-edition/" target="_blank">Android 13 Go版本則在本周問世</a>，同時Google也宣布全球已有2.5億人口使用Go版的Android手機。</p> <p>Android Go是瘦身版的Android作業系統，它的執行更輕盈也更省資料，以讓原始設備製造商（OEM）可打造更輕濟實惠的入門級裝置，造福更多的使用者，在Google首度於2017年推出Android 8的Go版時，手機的最低記憶體需求只有512MB，但隨著需求擴充與零件價格的下跌，如今支援Android 13 Go版的手機，已必須具備至少2GB的記憶體空間。</p> <p>但每年Google仍會持續優化Go版Android的資源使用，或是改善這些低階手機的能力，例如Android 12 Go版就具備更快的程式啟用、更長的電池續航力、更容易的程式分享，也提供更多的隱私控制。</p> <p>至於今年的Android 13 Go版則嵌入了Google Play System Updates，以讓Go裝置隨時接收各種重要的軟體更新，而不必等到裝置製造商釋出更新；也新增了Material You讓Go版用戶可客製化手機桌面；亦有諸如通知權限（Notification Permissions）與程式語言偏好（App Language Preferences）等Android 13的功能。採用Android 13 Go版的手機可望於明年上市。</p> </div></div></div>
2022/10/20 21:59作者陳曉莉https://www.ithome.com.tw/news/153736
Firefox讓用戶可預設啟用隱私視窗，並且加入新的瀏覽紀錄頁面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/privacy-online-just-got-easier-with-todays-firefox-release/">Firefox新版本</a>添加的隱私設定，進一步強化用戶的瀏覽安全，還增加了Firefox View新功能，提供用戶跨裝置瀏覽體驗，另外，新版本也提供新配色和背景，供用戶配置喜歡的瀏覽器外觀。</p> <p>Firefox添加了一個快捷按鈕，讓用戶在桌面新增隱私視窗捷徑，供用戶可以隨時快速地進入隱私視窗，官方還更新隱私視窗的標誌和外觀。現在隱私視窗會預設使用深色主題，以配色讓用戶更清楚，何時處於隱私視窗模式。</p> <p>Firefox View新功能則提供了一個全新的Firefox瀏覽紀錄頁面，在桌面裝置上，用戶可以看到25個最近關閉的頁籤，且在同步行動裝置後，Firefox View會呈現其他裝置最近瀏覽的3個頁籤，該功能可以進一步改善用戶的網頁瀏覽流程與體驗，快速獲得重要的資訊。</p> <p>官方也更新了PDF瀏覽器和文字辨識功能，用戶現在可以直接在PDF編輯器中進行編輯，以支援需要編輯PDF文件並列印後寄回的情境，而對於macOS 10.15和以上版本的用戶，將可以更方便地使用系統的文字辨識功能，更新後的Firefox可讓用戶瀏覽圖片並直接複製文字，不需要手動輸入，該功能還與內建的macOS螢幕閱讀器和VoiceOver相容。</p> </div></div></div>
2022/10/20 22:04作者李建興https://www.ithome.com.tw/news/153727
Oracle推出MySQL湖邊小屋服務HeatWave Lakehouse
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Oracle鎖定競爭對手的資料分析和儲存產品，推出了湖邊小屋分析服務<a href="https://www.oracle.com/be/news/announcement/ocw-oracle-announces-mysql-heatwave-lakehouse-2022-10-18/">Oracle HeatWave Lakehouse</a>，官方提到，該服務在400 TB工作負載上的查詢效能是Snowflake的17倍，同時也是Redshift的6倍，而針對物件儲存上的400 TB資料，其查詢速度是Redshift的8倍，並且是Snowflake的2.7倍。</p> <p>MySQL HeatWave Lakehouse是MySQL HeatWave的最新功能，而MySQL HeatWave則是Oracle在MySQL資料庫基礎上，整合交易處理、分析、機器學習和自動化雲端服務的產品，MySQL HeatWave跨資料倉儲和資料湖分析，不需要用戶執行額外的ETL工作。</p> <p>資料湖邊小屋技術是結合傳統資料倉儲交易的資料，以及儲存和分析半結構化資料的資料湖技術，透過整合這兩個資料來源，企業可以更深入地分析業務資料，Oracle提到，在資料更加即時的同時，也使得來自資料湖的分析更具價值。</p> <p>但是過去MySQL用戶在分析時，常需要將資料從MySQL資料庫搬移到另一個資料庫進行分析，這額外的步驟增加了成本、複雜性和時間資源，導致企業無法進行即時分析，MySQL HeatWave則在交易發生時就將其移入到分析引擎中，因此能更即時地分析資料。</p> <p>MySQL HeatWave Lakehouse建構在HeatWave大規模橫向擴展架構之上，最多可擴充至512個節點，處理物件儲存中各種格式的資料，包括CSV和Parquet，甚至是Aurora和Redshift備份。官方提到，MySQL HeatWave Lakehouse在產業標準基準測試中，比起競爭對手的雲端資料庫服務，可以提供更好的資料查詢和載入速度。在單個查詢中，用戶可以查詢MySQL資料庫中的交易性資料，並且使用標準MySQL語法將其與物件儲存中的資料相結合。</p> <p>Oracle同時還宣佈了MySQL Autopilot，基於企業工作負載需求以機器學習提供自動化功能，可進一步提高MySQL HeatWave效能，而MySQL HeatWave Lakehouse的Autopilot功能，將針對自動模式推斷、自適應資料採樣、自動載入和自適應資料流等功能，在增加效能的同時減少管理工作，官方提到，Autopilot藉由運用機器學習和最佳化技術，可改善資料查詢、載入和壓縮等工作。</p> <p>企業可依需求，在公有雲和本地端執行MySQL HeatWave，資料團隊能將資料從本地MySQL OLTP應用程式複製到雲端執行MySQL HeatWave，包括OCI、AWS和Azure，而想要將資料留在本地端的企業，可以在自家資料中心營運OCI，並且執行MySQL HeatWave。MySQL HeatWave現在更新使用最新的MySQL資料庫，預計在2023年全面上市。</p> </div></div></div>
2022/10/20 22:11作者李建興https://www.ithome.com.tw/news/153729
Uber成立廣告部門，預期2024年可帶進10億美元廣告營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.uber.com/news-events/news/press-release-details/2022/Uber-Launches-Dedicated-Advertising-Division-To-Serve-The-Worlds-Biggest-Brands/default.aspx" target="_blank">Uber本周宣布</a>，已正式設立了廣告部門，將由去年向Amazon Advertising挖角來的Mark Grether領軍。<a href="https://s23.q4cdn.com/407969754/files/doc_presentations/2022/Uber-Investor-Day-Transcript_February-10-2022-(2).pdf" target="_blank">Uber曾於今年2月舉行的Investor Day上表示</a>，該公司的廣告業務到2024年將成長至10億美元。</p> <p>其實Uber早就展開各項廣告服務，包括在超過30個市場的Uber Eats上推出餐廳贊助計畫，而且參與該計畫的餐廳也已超過17萬家；或者是在Uber駕駛的車頂上安裝廣告，目前在美國也有超過3,000輛汽車於車頂安裝廣告版面，此一模式除了可替Uber帶進更多的廣告收入之後，駕駛的收入也增加了20%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-uber-advertising-AD-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Uber</span></span></p> <p>雖然Uber尚未於財報上揭露廣告營收，但Grether透露，去年Uber便已創下1.41億美元的廣告營收。</p> <p>步入廣告市場的Uber優勢在於該公司擁有第一手的消費者資料，且全球每月用戶超過1.22億。除了Uber Eats及車頂廣告之外，Uber也提供電子郵件廣告、菜單廣告，以及最新推出的旅程廣告（Journey Ads）。</p> <p>旅程廣告出現在Uber程式中，是以使用者的每次旅程作為銷售單位，可在使用者等車與搭車的空檔中由單一廣告主遞送不同的廣告，也允許使用者直接點選廣告來購物。此外，Uber還會根據使用者的目的地來出售廣告，例如目的地是機場或特定品牌的商店，那麼廣告主就能據此購買廣告版位。</p> <p>姑且不論旅程廣告的效果如何，已有法律專家認為該服務有侵犯用戶隱私之嫌。</p> </div></div></div>
2022/10/20 22:54作者陳曉莉https://www.ithome.com.tw/news/153737
Google Play服務中的TensorFlow Lite現已成為Android官方指定機器學習引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/10/latest-updates-on-androids-custom-ml.html">Google宣布更新Android自定義的機器學習堆疊</a>，這是一組在Android上部署自定義機器學習功能的基本API和服務。</p> <p>由於裝置上機器學習的各種優點，包括離線可用、更低的延遲、更好的隱私和更低的推論成本，因此比起以伺服器為基礎的機器學習，能夠提供更好的效能。開發人員在Android上建構機器學習應用時，有兩個方法可選，第一種是使用生產就緒，帶有預訓練和最佳化的機器學習模型SDK，當開發者想要有更多的控制，就可以選擇部署自己的自定義機器學習模型和功能。</p> <p>Google現在更新Google Play服務中的TensorFlow Lite，作為Android官方機器學習推理引擎，Google由於想要取代獨立的TensorFlow Lite，因此在Google I/O 2021大會中，宣布於Google Play服務中推出TensorFlow Lite早期存取預覽。</p> <p>而從發布到現在，Google Play服務中的TensorFlow Lite，已經透過數萬個應用程式，每月對數十億個用戶提供服務。在上個月，Google在Play服務中發布TensorFlow Lite穩定版，而現在，Google將其預設為Android官方機器學習推論引擎。</p> <p>在Google Play服務中使用TensorFlow Lite的好處是，可以縮小二進位檔案的容量，並透過自動更新獲得效能改進，同時也更容易與Android自定義機器學習堆疊之後的API和服務更新整合。</p> <p>另外，TensorFlow Lite Delegates現在也透過Google Play服務發布。在數年前，Google發布的GPU委派和NNAPI委派，讓開發者可以使用GPU、DSP或NPU等特殊硬體，而GPU和NNAPI委派現在則是透過Google Play服務發布。</p> <p>在不少進階用例，開發人希望可以直接使用自定義委派，因此Google也正與硬體廠商合作，藉由Google Play服務來擴大自定義委派存取。官方提到，因為硬體的差異，要針對最佳化硬體加速配置，在執行時對所有Android使用者，挑選最佳TensorFlow Lite Delegates有其困難。</p> <p>為了解決這個困難，Google正在建立一個新的API，使應用程式可以在執行時，替TensorFlow Lite模型安全地最佳化硬體配置，目前這個功能正在早期存取階段，開發者需要額外申請才能使用，官方預計會在明年初時公開發布。</p> </div></div></div>
2022/10/20 22:59作者李建興https://www.ithome.com.tw/news/153735
知名廣告封鎖列表EasyList遭大量印度劣質瀏覽器存取導致服務異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幾乎受全部廣告封鎖軟體採用的<a href="http://adguard.com/en/blog/easylist-filter-problem-help.html">廣告過濾器列表EasyList，近期遭遇持續的大流量存取</a>，造成眾多廣告封鎖軟體存取這份容量不大的txt檔需耗時約5分鐘，而EasyList維護者正在尋求專業資安人員協助。</p> <p>每個廣告封鎖軟體都需要使用過濾列表，並依據規則來封鎖廣告，而EasyList是一個由社群共同運作的專案，是目前全世界最受歡迎的廣告過濾器列表，幾乎所有使用封鎖軟體使用者，都曾使用過EasyList或是其衍伸產品。</p> <p>但從9月底的開始，EasyList的存取流量突然暴增，從原本每日數TB瞬間增加10到20倍，而根據調查，這些流量的源頭來自印度的Android裝置，而封鎖軟體Adguard在去年也遭遇相同的問題，經過調查也是遭具有廣告攔截功能的應用程式濫用導致。</p> <p>Adguard提到，這兩個事件的原因都很類似，是一個具有廣告封鎖功能的開源Android瀏覽器，在印度被幾個非常流行的瀏覽器分叉，但問題是，這個開源瀏覽器有一個設計缺陷，會在每次啟動時，自動重新下載過濾器更新，在Android裝置上每天會發生數次，即便瀏覽器在後臺運作，瀏覽器仍會嘗試執行更新。</p> <p>當Adguard去年遭遇這種情況，採用的解決方案是直接阻擋這些失控的流量，但儘管如此，Adguard每月都還是需要提供約100 TB的拒絕存取頁面。Adguard曾嘗試聯絡其中兩個瀏覽器開發人員，但是問題並沒有獲得解決，甚至變得更糟糕。</p> <p>EasyList託管在GitHub上並且使用CloudFlare代理，但是因為EasyList是一個社群專案，因此僅能使用CloudFlare非企業功能，暴增的EasyList流量使現在所有對EasyList檔案的請求都受到限制，導致不少廣告封鎖軟體都無法下載過濾器更新，這個問題可能迫使EasyList必須要更改網域名稱，否則有問題的瀏覽器會繼續使用easylist.to。</p> <p>廣告封鎖軟體現在都採取相對應的措施，Adguard採用自己的伺服器來託管列表，而其他廣告封鎖軟體則是切換到鏡像網域。不過，EasyList遭濫用的根本問題仍然沒有被解決，這些有問題的瀏覽器可能還會對新的鏡像網域產生DDoS流量。</p> <p>由於EasyList社群無法支付CloudFlare企業方案的費用，更改網域或許是一個選擇，但會影響數百個仰賴EasyList的開源專案，因此目前社群正尋求安全研究人員協助解決。</p> </div></div></div>
2022/10/20 21:46作者李建興https://www.ithome.com.tw/news/153724
上櫃公司大拓-KY子公司遭遇資安事件，日本大拓公布初步調查並說明是遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2016年於臺灣櫃買中心掛牌的蓋曼群島商日本大拓（Daito Me Holdings Co., Ltd）、上櫃其他電子業者大拓-KY，該公司在本月17日，於臺灣證交所發布重大訊息，揭露發生資安事件的狀況。</p> <p>關於大拓-KY，該公司主要經營電機、電子零件代理，以及工廠自動化設備與嵌入式電腦的組裝製品業務。</p> <p>根據該公司的重大訊息內容，說明事件發生於旗下百分百持股的子公司──日本大拓公司（Daito Me Co., Ltd），他們在偵測到內部資訊系統遭病毒攻擊後，資安團隊已於第一時間啟動防禦機制，以及備援作業。</p> <p>在事件因應上，該公司表示，將持續與外部資訊公司共同合作處理，並且也已經通報日本政府執法部門。目前，內部資訊系統陸續回復運作中。</p> <p>至於事件影響上，他們現階段的評估是，對於日常營運、財務無重大影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-20_112918.JPG" style="width: 600px;" /></p> <p><strong>最早成立於1957年的日本大拓公司（ダイトーエムイー株式会社），在2014設立蓋曼群島商日本大拓為母公司，並於2016年在臺掛牌。近日日本大拓公司發生資安事件，並於官方網站公告說明初步調查現況，而蓋曼群島商日本大拓也在臺灣證券交易所發布重大訊息。</strong></p> <p>值得注意的是，雖然該公司在資安事件重大訊息的揭露上，內容相當有限，不過，我們從大拓-KY官方網站（<a href="http://daito-me.com.tw/">Daito Me Holdings Co., Ltd</a>）的<a href="http://www.daito-me.com/">日文版</a>，可以看到子公司日本大拓公司近期發布兩起公告：<a href="http://www.daito-me.com/news/cate2-2/">10月7日的一起事故發生消息通知</a>，以及<a href="http://www.daito-me.com/news/cate2-2/20221017/">10月17日的初步調查結果報告</a>。</p> <p>根據該公司的事故公告內容顯示，日本大拓公司是在10月7日事發當下，就公告說明發生系統故障情形，影響訂貨流程，並表示將進行調查系統故障的原因、影響範圍與恢復時間。</p> <p>而在後續發布的初步事故調查報告中，當中對外揭露了他們遭遇的是勒索軟體攻擊，並說明其因應作為。而該公司發布事故調查報告的17日這天，大拓-KY也於臺灣證券交易所發布重大訊息說明。</p> <p>根據初步事故調查報告的內容，當中指出該公司在調查原因後，於10月7日凌晨12時30分左右時，確認他們發生遭遇勒索軟體攻擊的狀況。</p> <p>而為了因應這起事件，他們表示關閉其網路，並與外部資安專家合作下，正在盡力了解該事件造成的損害，恢復系統並防止這樣的事件再次發生。</p> <p>同時，該公司也說明，內部資訊系統已陸續回復運作，並將深入調查原因以強化安全，並說明事件有後續發展或新的事實，將會依據調查結果持續更新消息。</p> <h2><strong>2022-10-17 大拓-KY子公司</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告中表示說明子公司日本大拓資訊系統遭受病毒攻擊 </td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事中應變措施</td> <td style="width: 378px;">10月17日發現狀況，啟動防禦機制與復原作業，已通報日本政府執法單位。<font color="#ff0000">於凌晨12時30分確認遭攻擊</font></td> </tr> <tr height="48"> <td height="48" style="height: 48px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布感染病毒名稱，被入侵管道，以及感染方式等。<span style="color: rgb(255, 0, 0);">這次事件確定遭勒索軟體攻擊</span></td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">僅提及資訊系統</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運、財務無重大影響</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">內部資訊系統陸續回復運作中，亦同步檢視並強化現有的基礎架構，全面提升網路安全等級以保護資料安全及完整性。。</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在10月17日發布於臺灣證券交易所重大訊息 <span style="color:#FF0000;">同日於公司官方網站發布事件調查初步報告，說明資安事件及調查情形</span></td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">該公司背景資訊</td> <td style="width: 378px;">年報<a href="https://doc.twse.com.tw/pdf/2021_8455_20220616F04_20221020_194952.pdf">連結</a></td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年10月(紅字部分為查詢該公司網站後得知的資訊)</td> </tr> </tbody> </table> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-20_110800.JPG" style="width: 600px;" /></p> <p> </p> </div></div></div>
2022/10/20 16:56作者羅正漢https://www.ithome.com.tw/news/153728
【資安日報】2022年10月20日，中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>香港政府也是中國駭客APT41監控的對象！由於駭客利用特定的後門程式發動攻擊，研究人員針對此後門程式與手法進行比對，此為該組織大規模網路間諜行動的其中一環。</p> <p>駭客打造的後門程式竟出現了幾乎無法被偵測出來有害的情況！有人透過提供職缺申請表的名義散布此惡意軟體，較為罕見的是後門程式會將自己登錄為作業系統更新程序，而能規避偵測。</p> <p>微軟因其中一臺伺服器配置不當，使得超過6.5萬家企業客戶資料也隨之曝光，很有可能是有史以來最嚴重的B2B資料外洩事故。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/spyder-loader-cuckoobees-hong-kong"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41利用惡意軟體Spyder Loader埋伏香港政府超過一年</span></strong></a></h3> <p>資安業者賽門鐵克揭露中國駭客組織APT41（亦稱Winnti）的攻擊行動，專門針對香港的政府機關而來，駭客利用名為Spyder Loader的後門程式，在受害組織的網路活動一年以上。研究人員根據上述的惡意軟體進行分析，認為這次發現為<a href="https://www.ithome.com.tw/news/150805#CuckooBees">今年5月揭露網路間諜行動Operation CuckooBees</a>的一部分。</p> <h3><a href="https://securelist.com/diceyf-deploys-gameplayerframework-in-online-casino-development-studio/107723/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客DiceyF鎖定東南亞的網路賭場部署惡意框架</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DiceyF-06.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DiceyF-06.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露名為DiceyF的駭客組織，該組織自2021年11月，針對東南亞的網路賭場部署惡意框架GamePlayerFramework，該框架由另一款惡意軟體PuppetLoader改寫而成，具備下載惡意酬載、啟動惡意軟體、遠端存取功能、鍵盤側錄等能力，一旦成功入侵受害電腦，此框架就會每20秒向C2伺服器發送訊號，而C2一次可發出多達15個命令，且下載到此惡意框架的外掛元件都不會儲存到磁碟，使得受害者檢測更加困難。</p> <h3><a href="https://www.safebreach.com/resources/blog/safebreach-labs-researchers-uncover-new-fully-undetectable-powershell-backdoor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現幾乎不可能偵測的PowerShell後門程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/PowerShell-backdoor-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerShell-backdoor-2.png" style="width: 300px; float: right;" /></a>資安業者SafeBreach揭露一支Windows後門程式，此軟體為PowerShell指令碼，並具備自我偽裝機制，幾乎「無法偵測」，可能有百名使用者受害。這支後門程式被包裝在Word檔案Apply Form.docm，假借提供LinkedIn申請表單的名義，透過精準釣魚攻擊散布，檔案來自約旦，但不確定攻擊者的身分。研究人員指出，此惡意文件包含巨集，觸發後會下載指令碼，並將此指令碼註冊成Windows Update排程工作，藉此避過資安系統的偵測。攻擊者主要目的是竊取受害電腦資料，其次才是列舉AD用戶、RDP帳號。</p> <h3><a href="https://msrc-blog.microsoft.com/2022/10/19/investigation-regarding-misconfigured-microsoft-storage-location-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟伺服器配置錯誤導致大規模外洩！逾6.5萬家企業資料因此曝險</span></strong></a></h3> <p>錯誤設定的問題過往總是出在雲端服務用戶身上，如今竟然連專業的雲端業者自己也出現這類問題！資安業者SOCRadar於10月19日披露，他們偵測到Azure Blob Storage的配置錯誤，導致111個國家、逾6.5萬家企業的資料外洩，很可能是史上最嚴重的B2B資料外洩事件。這起事故完全是因為一臺伺服器的錯誤配置造成，該伺服器內含多臺SQL Server資料庫與各式檔案，總計約有2.4 TB的資料量，日期介於2017年至2022年的8月。研究人員在9月24日通報，微軟也證實此事，但強調非安全漏洞，獲報後已修復相關配置。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/10/18/cisa-releases-two-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對研華、日立能源工控系統發布資安通告</span></strong></a></h3> <p>美國網路安全暨基礎設施安全局（CISA）於10月18日，針對研華軟體管理平臺R-SeeNet、日立能源（Hitachi Energy）資產效能管理軟體APM Edge等2項工業控制系統的漏洞提出警告。與R-SeeNet相關的部分，是CVSS風險評分6.5分的路徑穿越漏洞CVE-2022-3385，以及CVSS風險評分達9.8分的記憶體堆疊溢位漏洞CVE-2022-3386、CVE-2022-3387，一旦遭到利用，攻擊者可遠端刪除系統資料或執行程式碼（因此這些弱點也是RCE漏洞）。CISA針對APM Edge的部分，則是公告了30個漏洞，最嚴重的為8.2分，若是遭到利用，有可能導致該系統無法存取。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/tech/153719"><span style="color: rgb(0, 0, 0);">Fortinet修補重大漏洞已有攻擊行動，1.7萬臺設備曝險，臺灣653臺全球第三</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.pts.org.tw/article/605266"><span style="color: rgb(0, 0, 0);">臺北市政府推出熊好券2.0，冒牌網站隨之出現</span></a></span></strong></p> <p><a href="https://cybernews.com/news/hackers-stole-data-from-kingfisher-insurance/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國保險業者Kingfisher遭勒索軟體LockBit攻擊，泄洩1.4 TB資料</span></span></strong></a></p> <p><a href="https://www.idealwine.info/update-to-idealwine-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國網路酒商iDealwine遭到網路攻擊，客戶資料恐外洩</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153685">【2022年10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153666">【2022年10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</a></strong></strong></strong></p> </div></div></div>
2022/10/20 17:58作者周峻佑https://www.ithome.com.tw/news/153732
國內11家飯店明年示範導入機器人，靠機器人迎賓、消毒環境、為客房送物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在未來，以機器人取代人力，執行高重覆性的工作將愈來愈普及。經濟部工業局、資策會今天與緯創資通、博鈞科技等多家廠商共同舉辦「服務型機器人旅宿應用示範團隊啟動大會」，促成業者與11家飯店合作，明年示範導入機器人。</p> <p>參與示範的業者除了崇友實業、三菱等電梯業者加入，主要分為兩個團隊，一隊由博鈞科技、亞洲光學等業者合作，將在明年3月陸續於5家飯店，包括福爾摩沙酒店聯盟草悟道酒店、台南維悅酒店、台北玩行旅、台中港酒店、台中神木谷假期大飯店導入服務型機器人，在飯店導入自動送物機器人。</p> <p>另一隊則由緯創資通、台灣微軟、Nvidia、和煜科技等組隊，明年4月在台北美崙、淡水福容飯店、六福萬怡酒店、新竹安捷國際酒店、日月潭力麗溫德姆酒店、高餐大群會館，共6家飯店導入迎賓機器人、客房配送機器人、環境消毒機器人。</p> <p><strong>由左至右分別為：迎賓接待機器人、消毒機器人、客房送物機器人：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20221020_112553.jpg" style="width: 600px; height: 450px;" /></p> <p>以飯店導入客房配送機器人為例，機器人的下方為AMR自主移動機器人，當旅客要求客房送物服務時，飯店人員將物品放置機器人後，便能從管理後檯派工給機器人，以緯創資通的配送機器人為例，利用Azure進行機器學習訓練，結合機器人的Nvidia Jetson平臺為邊緣運算，讓機器人在物品、旅客混雜的飯店環境裡自主移動。</p> <p>當機器人要搭乘電梯到其他樓層時，發送訊息至後檯，再由後臺介接機電系統呼叫電梯，緯創資通表示，當電梯門開啟時，如同人類一般，機器人會準備進入電梯內，辨別電梯內乘客位置，並依據讓位情形，判斷是否有空間搭乘，如果電梯內人員太擁擠，再等待下一部電梯。當抵達客房時，機器人撥打客房電話通知已抵達門口，旅客再以密碼或房卡，開啟機器人身上的箱蓋取物。</p> <p>緯創資通現場展示3款機器人，它們支援Wi-Fi、4G或5G通訊，包括配備紫外線燈及AMR的環境消毒機器人，可連續10小時執行環境消毒作業，迎賓機器人提供導覽、接待服務，另一款客房配送機器人，用以取代傳統人工配送物品，宣稱可提升20%的服務效率。</p> <p>亞洲光學與博鈞科技則展示自動送物機器人，根據不同飯店的送物作業設計流程，同樣以AMR自主移動，利用內建的紫外線燈為配送物品消毒，根據環境、時間及人流，執行單趟多次配送，抵達客房時，支援Line Bot到達通知、無接觸身分驗證取物。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%81%E7%89%A9.jpg" style="width: 300px; height: 400px;" /></p> <p>博鈞科技表示，在24小時營業的飯店業，機器人可完成約7成的客房物品配送工作，同時降低2到3成的旅客等待時間。</p> <p> </p> <p> </p> </div></div></div>
2022/10/20 18:11作者蘇文彬https://www.ithome.com.tw/news/153730
英特爾揭露新一代Thunderbolt，將奠基於USB 4 Version 2.0標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著USB應用論壇（USB Implementers Forum，USB-IF）<a href="https://www.businesswire.com/news/home/20221017006047/en/USB-IF-Announces-Publication-of-New-USB4%C2%AE-Specification-to-Enable-USB-80Gbps-Performance" target="_blank">在本周發布了USB 4 Version 2.0的正式規格</a>，<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-leads-industry-next-generation-thunderbolt.html" target="_blank">英特爾（Intel）亦揭露其新一代Thunderbolt介面的特色</a>，表示新版Thunderbolt將提供80 Gbps的雙向傳輸能力，<a href="https://www.theverge.com/2022/10/19/23411752/intel-thunderbolt-next-generation-usb-4-version-2-specs?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">但《The Verge》認為</a>，Thunderbolt 5的功能與USB 4 Version 2.0相去不遠，已不如以往吸引人。</p> <p>Thunderbolt是英特爾與蘋果共同開發的硬體介面，單個介面就能同時支援資料、影像與電力的傳輸，目前的版本為Thunderbolt 4，Thunderbolt與USB標準的介面及纜線是相容的，但Thunderbolt通常會有更快的傳輸及充電速度。英特爾尚未公布新一代Thunderbolt的名稱，外界暫時以Thunderbolt 5稱之。</p> <p>依照英特爾的說法，Thunderbolt 5是基於USB 4 Version 2.0及DisplayPort 2.1規格所設計，它將帶來80 Gbps的雙向頻寬，是Thunderbolt 4的兩倍，支援最新的DisplayPort 2.1，也有兩倍的PCI Express資料吞吐量，相容於既有的1米被動纜線，也相容於前一代的Thunderbolt、USB及DisplayPort，另對於密集影片的使用，所支援的最高頻寬則可達到120 Gbps。</p> <p class="rtecenter"><img alt="" src="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2022-10/newsroom-intel-next-gen-thunderbolt-3.jpg.rendition.intel.web.1648.927.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／英特爾</span></span></p> <p>雖然Thunderbolt 5的官方名稱與規格細節要到明年才會出爐，但看起來它就是以更多的頻寬，來強化對高解析度螢幕、遊戲及備份大量檔案的支援能力。</p> <p>至於《The Verge》認為Thunderbolt 5可能失去其必要性的原因，在於USB 4 Version 2.0已提供了類似的能力。因為此一最新的USB規格也具備120/40 Gbps的傳輸能力，亦支援DisplayPort 2.1與 PCI Express 4，當兩者的差距愈來愈小，Thunderbolt最終可能失去其優勢。</p> </div></div></div>
2022/10/20 15:49作者陳曉莉https://www.ithome.com.tw/news/153725
Meta AI讓閩南語可與英文對話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/10/hokkien-ai-speech-translation/" target="_blank">Meta本周發表了一個全新的AI系統</a>，可讓福建話（Hokkien，閩南語）直接與英文對話，<a href="https://www.facebook.com/TechatMeta/videos/572626654618826/?t=67" target="_blank">且Meta創辦人暨執行長祖克柏（Mark Zuckerberg）更與主導該系統、來自臺灣的工程師Peng-Jen Chen共同進行了示範</a>。</p> <p class="rtecenter"><a href="https://www.facebook.com/TechatMeta/videos/572626654618826/?t=67" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-zuckerberg%20Hokkien.png" style="width: 271px;" /></a></p> <p>大多數的語音翻譯系統都仰賴轉錄，但在全球常用的逾7,000種語言中，大約有一半主要是以口語為主，它們缺乏標準的書寫格式，於是Meta打造了全球首個口語語言AI翻譯系統，把一種語言的口語直接翻譯成另一種語言的口語，讓講福建話的使用者可以跟英文使用者溝通。</p> <p>這是Meta通用語音翻譯（Universal Speech Translator，UST）專案的一部分，該專案著眼於開發新的AI方法，期待那些以口語為主的語言，都能夠產生即時的口語翻譯，而Meta的首選語言即是福建話。</p> <p>Peng-Jen Chen成長於臺灣，講的是中文，但他父親來自臺灣南部，主要說福建話，雖然中文與福建話是相關的，但彼此之間的對話仍有一定的隔閡。Peng-Jen Chen表示，他希望他的父親能夠以福建話與任何人溝通無礙。</p> <p>根據統計，全球約有數千萬民眾說的是福建話，有2,800萬來自中國，1,350萬來自臺灣，馬來西亞有200萬，新加坡為150萬，還有100萬的菲律賓人。</p> <p>為了讓福建話變成英文，研究人員是以中文寫下福建話與英文，再將它們從中文翻譯成英文及福建話，再將成對的句子加到用來訓練AI模型的資料中。</p> <p>目前該系統只能翻譯單個句子，預計很快就會開源。</p> </div></div></div>
2022/10/20 14:50作者陳曉莉https://www.ithome.com.tw/news/153722
安全軟體開發有新實踐指引，NIST SSDF正受資安業者關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈安全毫無疑問是近年最受關注的資安議題之一，在近期最受關注的開源軟體安全性之前，長年以來，資安界就有持續提倡的安全軟體開發生命週期（SSDLC），再加上後起的軟體物料清單（SBOM），其發展同樣是備受關注，然而，在眾說紛紜、各行其是的狀況下，大家都期待出現有公信力的組織，能訂出廣受認可的標準，使這類議題能夠持續推行。</p> <p>現在我們終於看到出現這樣的軟體開發安全框架，其全名為：Secure Software Development Framework，簡稱SSDF，由美國國家標準暨技術研究院（NIST）訂定，足以成為實踐上的重要參考，今年2月新出爐，已引起資安業者關注。例如，提供物聯網設備資安檢測服務的安華聯網科技，持續關注NIST相關標準發展之餘，也在今年臺灣資安大會介紹SSDF，該公司軟體工程師暨資安研究員楊力學（Aspen Yang）談及此框架內容，也解析當中重點。</p> <h2><strong>NIST發布 SSDF 1.1，提供降低軟體漏洞風險的方針</strong></h2> <p>關於安全軟體開發生命週期，有不少資深的IT人員都知道它的重要性，畢竟，軟體驅動一切，每個軟體都有資安風險，若要確保安全性，需在開發過程的每個環節，落實相關的設計與驗證。</p> <p>目前有不少著名的安全軟體開發流程的標準或方法論，可做為推動這項工作實務上的借鏡。</p> <p>例如，微軟發布的安全開發生命週期（MS SDL），由OWASP發布的軟體保障成熟度模型（OWASP SAMM），算是最為知名。近年也看到國內有在談Synopsys發布的軟體安全建構成熟度模型（BSIMM）等。</p> <p>而從產業面來看，也有一些實例，但可能比較不那麼為人所熟知，像是楊力學就提到，在支付卡產業安全領域的PCI SSLC，以及在工控安全標準IEC 62443-4-1當中，其實也都有相關需求規範。</p> <p>特別的是，現在美國NIST也針對這個領域提出實踐框架，其全名是Secure Software Development Framework（SSDF），也就是NIST SP 800-218，這份文件歷時近兩年完成，最終審定1.1版正式發布，當中針對減少軟體漏洞及網路風險的重要行動，做出通盤介紹。</p> <h2><strong>框架本身具通用性，可在開發流程彈性運用</strong></h2> <p>NIST SSDF有何特點？簡單來說，就是適用廣泛，具通用性與彈性。</p> <p>在這場介紹中，我們可以了解它的一些特性，而我們也直接檢視了<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf">NIST SSDF的文件</a>，當中的內容亦有充分的說明。</p> <p>根據NIST指出，要確保正在開發的軟體足夠安全，就要將安全軟體開發的實踐，增加到每個軟體開發生命週期（SDLC）模型之中。</p> <p>而SSDF本身就是提供基本、健全的安全軟體開發實踐，定義安全軟體開發的通用語言，並且是高層次的框架，因此並不會規定每項實踐要如何進行，重點在於實踐的結果，而不是這樣做的工具、技術與機制，所以，不論規模大小或網路安全水準高低，任何部門、組織都可以使用SSDF。</p> <p>關於SSDF這方面特性的意義，楊力學也做出具體整理，例如，SSDF支援多樣SSDLC標準因而具有延展性，也就是說，大家可依照參照的SSDLC標準進行文件化，適用範圍可大可小，而且，該框架並不會只針對專門程式語言、軟體開發流程框架、實作軟體、開發環境與維運環境，因此可以整合現有工具鏈與工作流程。此外，能適用IT、ICS、CPS與IoT領域開發的軟體。</p> <h2><strong>將安全軟體開發分4大構面，20項實踐</strong></h2> <p>整體而言，SSDF使用類似NIST CSF的表格形式來呈現。在表格的最左側，就是框架的4大構面，各欄則是組成要素與結構，包括：實踐（Practices）、工作（Tasks）、概念實施範例（Notional Implementation Examples ），以及參考資訊（References）。</p> <p>對於NIST SSDF的實踐內容，楊力學有更清楚的說明。他表示，在這份實踐文件中，主要有4大構面：組織要做的準備，保護軟體，產出良好安全的軟體，回應弱點。</p> <p>由於有了4大構面的區分，他認為，這突顯當前環境存在一些觀念偏差。很多人可能誤以為，要讓軟體程式開發增加安全，只要做源碼檢測、程式碼審核，但事實上不是這樣，要做的事其實是更多樣的，而從SSDF的框架即可看出。</p> <h3><span style="color:#0099ff;"><strong>1.組織要做的準備</strong></span></h3> <p>首先，在組織要做的準備上，有5個實踐項目，分別是：定義軟體開發的安全需求，實施角色與職責，實施支援工具鏈，定義與使用軟體的安全標準查核表，以及實施與維護軟體開發的安全環境。</p> <p>在此當中，楊力學指出，把安全需求定義清楚，是最重要的工作。他並引用一張Open Security Architecture的分類圖，指出當中著重在「安全架構」與「控制措施」，並概要列舉出常見SSDLC在這兩者之下，會需要實作的資安需求，常見有13項，包含：安全架構與安全設計、資安控制措施、軟體弱點辨識、以不可逆方式保存密碼、進行身分認證、權限設計與授權管理、用金鑰加解密、機密敏感性檔案處理、安全連接與通訊、安全傳輸檔案、簽署資料、驗證資料完整性，以及數位證據保存。</p> <p>綜觀這裡的5個實踐，不僅是定義安全需求，準備工作也涵蓋到要有軟體安全標準的查核表，以及實施與維護。</p> <h3><strong><span style="color:#0099ff;">2.保護軟體</span></strong></h3> <p>其次，在保護軟體上，主要分3個實踐，簡單來說，可聚焦在3個概念：首先，要防範未經授權的存取與竄改，並且是所有狀態的程式碼；其次，是提供機制驗證軟體釋出的完整性；最後，是每次的軟體釋出都進行庫存與保護。</p> <p>尤其是最後一點，楊力學強調，因為，其中一個工作項目的內容，就是關於蒐集、維護每個軟體所有元件的出處資料，也就是目前相當熱門的軟體物料清單（SBOM）。</p> <p>而這裡主要可以分成兩個重點來看，分別是SBOM報告格式，以及弱點可利用性資訊交換標準（VEX）。對此，他也引用美國CISA對於SBOM的介紹，指出近年美國國家電信暨資訊管理局（NTIA），已經提供相當多關於SBOM介紹、導入、技術資源、PoC教訓等文件，其中在SBOM 報告格式要求方面，主要有三種選擇，分別是ISO/IEC 5962:2021的SPDX、NIST的SWID，以及OWASP的CycloneDX。</p> <p>還有更重要的是，要將SBOM跟弱點結合在一起，因此需要VEX這樣的機制配合。如此一來，SBOM才真正有作用，可以使得供應鏈資安變得透明化。</p> <h3><span style="color:#0099ff;"><strong>3.產出良好安全的軟體</strong></span></h3> <p>在產出良好安全的軟體上，這裡有9個實踐項目，楊力學認為，這是整個文件中最重要的部分。</p> <p>除了軟體設計要能與資安需求相符並緩解資安風險，以及複驗軟體設計，也要驗證第三方軟件是否符合安全要求。</p> <p>並且，在可行情況下使用現有安全可靠的軟體，也就是不要重複造輪；程式設計本身在撰寫程式碼時，也要堅持安全設計原則；在使用直譯器、編譯器及Build流程中，要將這些流程的組態設定提高安全性，以提高可執行檔，以及系統載入執行期間的安全性。他並舉例，C語言與C++語言會面臨很多這方面的問題。</p> <p>接下來，進行程式碼審核，審查與分析人工可讀的程式碼以識別弱點；然後是測試可執行程式碼以識別弱點，並透過自動化方式降低檢測漏洞的資源與成本；最後是軟體的預設值，必須是安全的組態。</p> <h3><span style="color:#0099ff;"><strong>4.回應弱點</strong></span></h3> <p>最後，在回應弱點上，主要有3個實踐項目，包括：於現有的基礎持續辨認與確認弱點，評估、訂定優先順序與修復弱點，以及分析弱點以辨認根因。</p> <p>對於弱點的認知，除了普遍熟知的CVE漏洞編號，美國MITRE從2005年發展出的CWE通用弱點列表，許多人同樣都很熟悉，一直是軟體安全相關領域研究人員的重要參考。</p> <p>這方面楊力學也用了CWE來舉例，鼓勵軟體工程師在學習上，可由此瞭解現在軟硬體弱點的根因，事實上，有了根本原因才會產生弱點，有弱點才會有可利用性。</p> <p>同時，他也簡單說明，實務上會產生軟硬體弱點的5大原因，包括隕石式開發流程的緊急要求、未導入安全開發流程、開發與維運人員缺乏資安領域知識、人力資源不足，以及一時粗心，都是容易造成問題的主因。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89NIST%20SSDF.jpg" style="width: 600px;" /></p> <p><strong>在NIST SSDF框架中，第一個要實踐的工作，就是將安全需求定義清楚，安華聯網科技軟體工程師暨資安研究員楊力學藉由OSA分類圖，說明應著重於「安全架構」與「控制措施」，並列舉出13項SSDLC常見需要實作的資安需求。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NIST%20SSDF.jpg" style="width: 600px;" /></strong></p> <p><strong>在NIST SSDF的「保護軟體」構面中，有項實踐的工作是關於軟體物料清單（SBOM）。這裡有兩點需要注意，一是SBOM報告格式，現今主流有SPDX、SWID與CycloneDX，另一是弱點可利用性資訊交換標準（VEX），需要搭配才能讓SBOM發揮作用。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST%20SSDF.JPG" style="width: 600px;" /></p> <p><strong>經過這場介紹後，<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf">我們也實際了解NIST SSDF（SP 800-218）文件的內容</a>，這裡使用了類似NIST CSF的表格形式呈現，從內容架構來看，除了分為4大構面，20項實踐，並統計出共有47項工作。</strong></p> <p><strong>舉例來說，在第一個構面「組織要做的準備」（PO）中，共有5個實踐項目，若以第一個實踐「定義軟體開發的安全需求」（PO.1）來看，又分成3項工作，第一項工作是「識別並記錄組織軟體開發基礎設施與流程的所有安全要求，並隨著時間的推移維護這些要求」（PO.1.1）。</strong></p> <p><strong>值得注意的是，會後我們向楊力學確認相關資訊時，他也特別提到一點，就是這當中有4個工作項目，在白皮書經審定公告為標準後，已移動到其他實踐。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）NIST SSDF_參考資訊.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89NIST%20SSDF_%E5%8F%83%E8%80%83%E8%B3%87%E8%A8%8A.JPG" style="width: 600px;" /></a></p> <p><strong>要如何具體實踐這些內容？NIST建議，可查閱框架所提的實施範例，以及參考資訊，同時，使用者也應獲取有關實施這些實踐的額外資訊。而我們發現，這裡的參考資訊內容，已包括數個標準與指引，以其中一項實踐工作為例，參照的資訊就有：BSA FSS、BSIMM、IEC 62443、MS SDL、NIST CSF、OWASP SAMM、PCI SSLC、SC AGILE、SC FPSSD、SC SIC、SP 800-53、SP 800-160、SP 800-161、SP 8001-181等，還有美國總統拜登行政命令EO 14028。</strong></p> <p><strong>不過，在這些標準與指引當中，我們對於SC FPSSD、SC AGILE、SC SIC較為陌生，因此也請楊力學協助說明，他表示，像是SC FPSSD，指的就是Safe Code組織（<a href="https://safecode.org">https://safecode.org</a>）的SSDLC標準。</strong></p> </div></div></div>
2022/10/20 14:52作者羅正漢https://www.ithome.com.tw/news/153723
研究人員發現幾乎無法偵測到的PowerShell後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.safebreach.com/resources/blog/safebreach-labs-researchers-uncover-new-fully-undetectable-powershell-backdoor/" target="_blank">安全廠商近日發現一隻</a>會自我偽裝而幾乎「完全偵測不到」（fully undetectable）的Windows後門程式，而且可能已經用以鎖定近百個受害者。</p> <p>這隻後門程式包含在一份冒充LinkedIn工作申請Word文件，名為Apply Form.docm，透過精準釣魚攻擊散布，這個Word檔案是在今年8月由不知名的駭客在約旦上傳。研究人員判斷，這PowerShell後門程式這次攻擊大約成功鎖定了約100名受害者。</p> <p class="rtecenter"><img alt="" src="https://www.safebreach.com/wp-content/uploads/2022/10/Figure-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SafeBreach</span></span></p> <p>SafeBreach Labs研究人員指出，惡意Word 文件包含巨集程式，下載後的script程式會自我註冊成Windows Update行程的一部份，偽裝成Windows合法排定任務而避過安全工具的檢查。它同時建立2支PowerShell script，一支向外部C&C伺服器下載指令並指派受害者編號，另一支則執行指令。</p> <p class="rtecenter"><img alt="" src="https://www.safebreach.com/wp-content/uploads/2022/10/Figure-4.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／SafeBreach</span></p> <p>原本這2支script都是經過混淆（obsfucated）無法讀取，但研究人員利用script以可預測順序為受害者編號這點，得以解讀出受害者的機器識別碼以及其指令內容。研究人員根據惡意程式指派的編號判斷，應該有近100人受害。</p> <p>他們發現攻擊者主要以竊取受害電腦資料為主，其次是清空資料夾、列舉本地用戶、移除公用資料夾／帳號／電腦或IP的檔案、以及列舉AD使用者及RDP用戶端。</p> <p><a href="https://www.theregister.com/2022/10/18/fully_undetectable_windows_powershell_backdoor/" target="_blank">研究人員指出</a>，這隻惡意程式偽裝手法很高明，關閉巨集功能是可以封堵一項攻擊管道，但是若攻擊者使用其他入侵管道進入用戶電腦，則仍然難以發現而得以達到監視竊聽用戶之目的。</p> </div></div></div>
2022/10/20 13:52作者林妍溱https://www.ithome.com.tw/news/153720
Fortinet新修補漏洞已有多起攻擊，逾1萬7千臺Fortinet設備恐曝險，臺灣635臺居第三
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_960_fortinetxin_xiu_bu_lou_dong_yi_you_duo_qi_gong_ji_tu_pian_lai_yuan_shadowserver.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全設備商Fortinet近日一項漏洞修補消息，由於業者通知用戶的方式有別於以往，再加上後續出現多起攻擊發生的態勢，所以引發了大家關注。</p> <p>這起事件的起因，主要是Fortinet通知用戶，修補CVE-2022-40684漏洞，而這漏洞的性質，屬於HTTP/HTTPS管理介面的驗證繞過漏洞，其CVSS風險評分達9.6分，主要影響了他們旗下的三款產品線，分別是:FortiOS、FortiProxy、FortiSwitchManager。</p> <p>只是，在這次漏洞修補通知過程中，<a href="https://www.ithome.com.tw/news/153533">Fortinet先在10月6日以電子郵件聯繫特定用戶，說明釋出CVE-2022-40684修補</a>，呼籲他們儘速更新防火牆及網頁安全閘道產品，或採取緩解措施，信中並指出，這項通知僅提供特定用戶，並強調內容極度機密，不可對外分享，日後才會公告。</p> <p>到了10月10日，Fortinet在自家網站的PSIRT資安公告區，公開說明上述漏洞CVE-2022-40684的更新修補已經釋出了，當中提及他們注意到已出現成功利用此漏洞的情形。此外，同日還有針對另外5個漏洞的更新修補公告。</p> <p>然而，在10月6日的隔天，就有用戶將CVE-2022-40684漏洞訊息公開，張貼於社群網站及客戶支援論壇，而且，接下來，許多媒體也都在官方公告前就報導此事，等於在廠商正式公告前，相關消息早已曝光。</p> <p>這也使得<a href="https://www.ithome.com.tw/news/153674">Fortinet在10月14日，又再更新CVE-2022-40684漏洞的資訊</a>中，不僅說明發生多起攻擊、公布相關IoC，也提到他們這次改變慣常的通知流程，是希望客戶能在對外發布公告之前，加強其安全態勢。</p> <p>對於這樣的通知，我們也詢問臺灣Fortinet為何出現這樣的狀況，他們表示，此事件的通知模式並非常態，主要期望幫用戶爭取更多的反應時間。</p> <p>但從結果來看，Fortinet這次低調的漏洞修補通知，其實在隔日就公諸於世，早於正式公告。因此，此作法的效果及影響，是否不如一開始就直接公開揭露，成為外界議論焦點。</p> <p>此外，我們再向臺灣Fortinet了解狀況，以確認事件經過。問題包括：是否可以說是攻擊者先找出這個漏洞利用，因此Fortinet發現後趕緊修補漏洞，在釋出更新後，決定在發布產品安全性更告知前，先行通知特定用戶更新，以爭取反應時間。以及是否所有受影響的用戶都先收到通知？還是企業若想要能先收到通知，需達到何種條件？目前正等待臺灣Fortinet回覆。</p> <h3><strong>多家業者對未修補用戶示警</strong></h3> <p>對於CVE-2022-40684漏洞被鎖定攻擊的情形，從Fortinet在10月14日所公布的資訊來看，之所以在6日調整了通知流程，是因為當時發現此漏洞遭濫用的一個實例，而到了14日，他們在公告提到，因為此重大漏洞的關係，已發生多起攻擊。</p> <p>該公司指出，在6日的早期對特定用戶進行祕密示警之下，已在他們設置的誘捕系統中，發現網路上有掃描受影響的設備，利用漏洞下載配置檔並安裝惡意管理員帳戶。</p> <p>另外值得關注的是，針對此漏洞進行攻擊，其他資安業者及組織也揭露各自的發現。例如，<a href="https://viz.greynoise.io/tag/fortios-authentication-bypass-attempt?days=3">資安業者GreyNoise表示</a>，關於CVE-2022-40684的攻擊，他們的系統每天都偵測到上百個IP位址，對網路進行相關的掃描；<a href="https://twitter.com/Shadowserver/status/1581019923450847232">Shadowserver基金會也發布報告</a>，他們發現全球有17,415臺設備，易受鎖定CVE-2022-40684漏洞利用攻擊，應該要被修補，且不應將管理介面暴露於網際網路上，而從各國來看，美國與印度的暴露數量最多，分別都有超過3千4百臺、 1千7百臺的規模，臺灣有635臺，位居第三。文☉林妍溱、羅正漢</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/fortinet">Fortinet</a></div><div class="field-item odd"><a href="/tags/cve-2022-40684">CVE-2022-40684</a></div><div class="field-item even"><a href="/tags/%E6%BC%8F%E6%B4%9E%E4%BF%AE%E8%A3%9C">漏洞修補</a></div></div></div>
2022/10/20 12:39作者羅正漢https://www.ithome.com.tw/tech/153719
微軟伺服器配置錯誤，外洩客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://socradar.io/sensitive-data-of-65000-entities-in-111-countries-leaked-due-to-a-single-misconfigured-data-bucket/" target="_blank">資安業者SOCRadar周三（10/19）披露</a>，該公司的雲端安全模組（Cloud Security Module）持續掃描公開網路環境中的安全漏洞或不當配置，偵測到微軟Azure Blob Storage的一項配置錯誤而外洩了來自111個國家逾6.5萬家企業的資料，而這應是史上最嚴重的B2B外洩事件之一。<a href="https://msrc-blog.microsoft.com/2022/10/19/investigation-regarding-misconfigured-microsoft-storage-location-2/" target="_blank">微軟已證實此事</a>，但說SOCRadar誇大了外洩規模。</p> <p>根據SOCRadar的說法，這6.5萬家企業的機密資料會外洩都是因為單一伺服器的配置錯誤所造成，該伺服器含有許多SQLServer資料庫與各式檔案，總計約有2.4TB的資料量，資料日期介於2017年至2022年的8月，所外洩的包括執行證明（Proof-of-Execution，PoE）、工作說明書（Statement of Work，SoW）、使用者資訊、產品訂單、專案細節、個人可識別資訊（Personally Identifiable Information，PII），或者還有些文件可能含有智慧財產。估計有超過33.5萬封電子郵件、13.3萬個專案，以及54.8萬個使用者的資料曝光</p> <p>SOCRadar是在9月24日發現此事並通知微軟，雙方於本周同時對外公布。SOCRadar也提供了一個免費搜尋工具，讓企業輸入公司名稱以查詢自己是否受到該外洩事件的影響。</p> <p>微軟則解釋，此一意外肇因於微軟生態體系中某個沒在使用的端點不小心配置錯誤，得以讓未經授權的使用者存取微軟與潛在客戶之間的某些商業交易資料，涵蓋姓名、電子郵件帳號、電子郵件內容、企業名稱與電話號碼，或許還有某些微軟與客戶之間用來交流的附加檔案。</p> <p>微軟表示，這並非安全漏洞，在收到SOCRadar的通知之後已快速變更並保全其配置，且不管是客戶帳號或系統都未被入侵，並已逐一通知受影響的客戶，正努力改善內部程序以避免類似的事件再度發生。</p> <p>微軟雖然感謝SOCRadar的知會，但也批評SOCRadar過於誇大了資料外洩的規模，因為該資料集含有許多重複的資訊，包括電子郵件、專案及使用者，且SOCRadar在得知微軟回應後仍堅持使用原來的數字。</p> <p>對於SOCRadar提供外洩企業的免費搜尋工具，微軟亦感到不滿，指出這類的工具應該要顧及資料保護及隱私，應該有合理的身分認證系統來確認查詢人的資格，以及限制搜尋結果的範圍。</p> <p>其實SOCRadar的掃描工具不僅找到配置錯誤的微軟伺服器，也發現了其它外洩的公開儲存庫，只是外洩規模都不如微軟。</p> </div></div></div>
2022/10/20 11:46作者陳曉莉https://www.ithome.com.tw/news/153718
Space X推出飛機版衛星連網服務Starlink Aviation
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克的Space X繼推出海上版及汽車版衛星連網服務後，<a href="https://www.starlink.com/aviation" target="_blank">本周再公布</a>用於機艙的衛星連網服務Starlink Aviation，預計明年年中上市，強調為旅客提供高速、低延遲性的上網服務。</p> <p>Starlink Aviation安裝於機艙內，宣稱每架飛機提供高達350Mbps的連網頻寬，讓所有乘客都能同時獲得串流等級的連網服務。該服務延遲性僅20毫秒，使用者可以享受過去機上連網做不到的事，像是視訊、線上遊戲、連VPN及其他高數據傳輸率的活動。<a href="https://twitter.com/elonmusk/status/1582576552797081607" target="_blank">馬斯克今日也在推特上</a>推銷這項服務，說這項服務讓機上乘客上網像在家中</p> <p>這項服務強調全球涵蓋率，因為Starlink的衛星星群為全球最大，覆蓋面橫跨陸地、海洋及極區，因此用戶整個航程都可享受到高傳輸頻寬。</p> <p>Starlink Aviation將是由航空公司或飛機持有者採購以提供給乘客，月租費為12,500 到25,000美元不等，Space X強調不需綁長約，且簡易好安裝，停機率低，能整合於其他維修檢測流程。這項服務現在提供預購，預計2023年中開通。</p> <p>客戶還需花150,000美元購買Starlink Aviation套件，包含空中基地臺Aero Terminal、電源、2個無線AP及線束組。而核心的空中基地臺Aero Terminal包含具有波束控制功能的相位陣列天線，可提供穩定性、備援能力及效能。Space X也提供了Starlink Aviation支援的航空器機型清單。</p> <p><a href="https://www.ithome.com.tw/news/151742" target="_blank">Space X今年7月獲得美國聯邦通訊委員會許可</a>後，開始將其Starlink推向遊輪、飛機、火車與汽車。今年4月SpaceX分別和夏威夷航空及提供私人專機的JSX航空簽約，透過結合Starlink，使航空公司可在飛機上部署Wi-Fi服務。</p> </div></div></div>
2022/10/20 11:09作者林妍溱https://www.ithome.com.tw/news/153716
macOS 13 Ventura、iPadOS 16將在10月24日釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伴隨著<a href="https://www.ithome.com.tw/news/153698" target="_blank">新款iPad及iPad Pro</a>的公布，蘋果本周也公布作業系統<a href="https://www.apple.com/in/macos/ventura/" target="_blank">macOS 13 Ventura</a>及<a href="https://www.apple.com/newsroom/2022/10/apple-introduces-next-generation-ipad-pro-supercharged-by-the-m2-chip/" target="_blank">iPadOS 16</a>將在10月24日釋出正式版。</p> <p>最新版Mac電腦及iPad作業系統都是在今年6月的<a href="https://www.ithome.com.tw/news/151318" target="_blank">WWDC 2022上首度公布</a>。按照蘋果慣例，新作業系統會在當年秋天新裝置上市後一周釋出。在向大眾釋出正式版之前，蘋果昨日針對開發人員釋出<a href="https://developer.apple.com/documentation/macos-release-notes/macos-13-release-notes" target="_blank">macOS Ventura</a>、<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-16_1-release-notes" target="_blank">iPadOS16.1</a>、<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-16_1-release-notes" target="_blank">iOS 16.1</a>、<a href="https://developer.apple.com/documentation/safari-release-notes/safari-16_1-release-notes" target="_blank">Safari 16.1</a>以及watch 9.1、tvOS16.1的RC（release candidate）版本以及釋出公告（release note），邀請開發人員上傳為最新版作業系統打造的App。</p> <p>將在下周公布的macOS 13 Ventura及iPadOS 16，蘋果已經經由多次beta版向大眾介紹過。Ventura新增的Stage Manager以更靈活方式在不同App和視窗間切換又不致混淆（下圖）。接續互通相機（Continuity Camera）功能讓Mac用戶得以利用鄰近的iPhone作為電腦的網路攝影機，Ventura並為FaceTime提供了接力（Handoff）功能，可在不同iOS及Mac裝置間順暢串流影像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-Stage%20Manager-Stage%20Manager(1).png" style="width: 600px;" /></p> <p>macOS 13 Ventura支援硬體包括iMac 2017年機種及以後版本、iMac Pro 2017年機種、MacBook Air 2018年機種及以後版本、MacBook Pro 2017年機種及以後版本、Mac Pro 2019年機種及以後版本、Mac Studio 2022年機種及以後版本、Mac mini 2018年機種及以後版本，以及MacBook 2017年機種及以後版本。</p> <p>iPadOS 16亦主打強化多工作業能力。同樣地，iPad也新增Stage Manager方便用戶在iPad上執行多個App或視窗。這項功能原本只支援去年M1版iPad Air及iPad Pro，隨著新作業系統推出，也將延伸到更多機種。可安裝iPadOS 16的iPad包括iPad Pro全系列、iPad Air 3代以後、iPad 5以後及iPad mini 5以後。</p> </div></div></div>
2022/10/20 09:48作者林妍溱https://www.ithome.com.tw/news/153714
Windows Terminal現成為Windows 11預設終端工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows Terminal經過多次更新，隨著最新的Windows 11 22H2版本發布，成為<a href="https://devblogs.microsoft.com/commandline/windows-terminal-is-now-the-default-in-windows-11/">Windows 11預設命令工具</a>，這代表所有命令應用程式現在都會自動以Windows Terminal啟動。用戶需要使用Windows Terminal 1.15以上版本，才能使預設行為生效。</p> <p>在Windows設定中隱私和安全的開發人員頁面，還有Windows Terminal設定的啟動頁面，可以調整Windows Terminal預設。Windows Terminal作為Windows 11預設工具的行為，只會在用戶使用讓Windows決定（Let Windows decide）的選項才會發揮作用，如果用戶已有配置預設終端，則此項更新不會覆蓋用戶的偏好。</p> <p>藉由使用Windows Terminal，用戶可以擁有多個命令列配置檔案，這些檔案和命令列應用程式相關聯，根據用戶偏好單獨設定，當用戶使用WSL或是Visual Studio，Windows Terminal會自動產生配置檔案。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/commandline/wp-content/uploads/sites/33/2022/10/terminal-settings-2048x1213.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>Windows Terminal支援分頁和多窗格，可供用戶靈活使用，使工作流程更加順暢，Windows Terminal終端還提供豐富的操作，讓用戶能夠控制與終端的互動，同時微軟也提供了命令面板，使用戶能夠更簡單地尋找這些功能，另外，Windows Terminal終端也提供大量的自定義選項，像是背景、配色主題和透明度等設定。</p> </div></div></div>
2022/10/20 08:58作者李建興https://www.ithome.com.tw/news/153706
Ansible Playbook語法太複雜？Red Hat讓AI幫忙寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Red Hat和IBM研究院共同發表了<a href="https://www.businesswire.com/news/home/20221018006095/en/Red-Hat-and-IBM-Research-Advance-IT-Automation-with-AI-Powered-Capabilities-for-Ansible">Project Wisdom</a>，這是一項針對Ansible和IT自動化，運用自然語言處理技術的社群專案，Project Wisdom可以依據自然語言輸入，自動產生Ansible Playbook語法，以實現高度IT自動化，也使不同背景和技能的IT人員，能更容易地實現IT自動化。</p> <p>Project Wisdom源自IBM AI for Code專案中人工智慧基礎，讓用戶能夠以簡單的英文句子作為輸入，人工智慧模型會解析句子並且建構請求的自動化工作流程，編寫成Ansible Playbook以自動化IT任務，官方提到，與其他人工智慧程式碼編寫工具不同的地方在於，Project Wisdom並非用於應用程式開發，而是專注於解決因為企業混合雲應用增加，隨之而來的IT複雜性。</p> <p>Project Wisdom的目標，是填補Ansible YAML程式碼與人類自然語言之間的差距，用戶只要使用英文語句，人工智慧就可以產生語法正確且功能強大的自動化程式碼，協助通常僅在本地端作業的系統管理員，透過使用自然語言就可以輕易生成，跨網域在其他環境執行建置、配置和操作任務的Playbook指令。</p> <p>而不熟悉雲端平臺的開發者也能夠藉由使用Project Wisdom，增加對雲端配置應用程式的熟悉度，官方還提到，Project Wisdom使跨部門新人在建立基礎知識的同時，就已經可以立即生成可用的內容，無需仰賴過去傳統的教學模式。</p> <p>Red Hat和IBM研究院承諾，Project Wisdom及基礎人工智慧模型的程式碼庫，將會持續向社群公開，而來自Red Hat和IBM研究院的Ansible專家，將會是微調人工智慧模型的主要人員，Ansible社群將扮演主題專家和測試人員的角色。</p> </div></div></div>
2022/10/20 09:03作者李建興https://www.ithome.com.tw/news/153708
GitHub推出精細度個人存取權杖強化儲存庫權限管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub的個人存取權杖（Personal Access Token，PAT）將可配置更為精細的存取權限，使管理員可以細微地控制PAT權限，進而控制儲存庫存取，還能以政策控制存取組織資源的權杖，並獲得權杖可見性。新的<a href="https://github.blog/2022-10-18-introducing-fine-grained-personal-access-tokens-for-github/">精細度</a><a href="http://github.blog/2022-10-18-introducing-fine-grained-personal-access-tokens-for-github/">PAT</a>現在已可供GitHub.com上所有用戶、組織和企業使用。</p> <p>官方提到，企業資料洩漏的第一大原因是憑證洩漏。當前GitHub雖然有許多安全措施，避免開發人員和企業遭遇這類安全問題，像是以行動應用和支援webauthn，讓開發人員更簡單地採用2FA，並且在推送時替GitHub進階安全用戶掃描機密資訊。</p> <p>但是這些機制仍難以完全保護憑證，因此限制能夠存取儲存庫和資料的用戶，僅獲得工作所需的最小存取權限就顯得重要，GitHub現在的PAT只提供非常粗略的權限設定，包括授權用戶存取所有儲存庫和組織的權限，而組織擁有者也幾乎沒有任何控制和可見性，因此為了要進一步提高開發人員和組織安全層級，GitHub加入了能夠精細控制存取權限的新型PAT。</p> <p>原本的PAT仍然存在並且受完全支援，只不過現在稱為典型（Classic）個人存取權杖，使用者可獲得廣泛的讀取和寫入權限，可以存取所有的儲存庫和組織，無時效性永遠存在，像是在私有儲存庫中，對儲存庫範圍的所有資料獲得永久存取權限。</p> <p>而精細度PAT的權限相對更為限縮，整體權限具有50多項精細權限控制項，這些權限控制限制用戶對GitHub組織、用戶和儲存庫API的存取，例如，管理員現在可以創建一個只能讀取問題，但不能讀取儲存庫的PAT。精細度PAT有時效，而且只能存取明確被授予存取權限的儲存庫和組織，可被配置只能存取組織中的單一儲存庫。</p> <p>典型PAT不受組織和企業管理員控制，但精細度PAT提供組織更多控制權，在組織配置中的精細度PAT頁籤，組織擁有者可以選擇准許開發人員存取組織中任一儲存庫，並且查看和撤銷組織中的精細度PAT。另外，管理員還可以在政策頁籤中，對精細度PAT設置組織政策。</p> <p>官方鼓勵用戶在所有適用之處使用精細度PAT，因為即便精細度PAT洩漏，也能夠最大程度降低攻擊面。不過，部分功能還不能使用細度PAT，用戶現在還需要使用典型PAT存取企業外組織，這代表開源和內部資源貢獻，仍無法透過精細度PAT管理，且企業帳戶API整合，還是需要典型PAT或是oAuth應用程式。</p> <p>而對於有長期自動化的需求，官方則是建議使用GitHub Actions或GitHub應用程式，GitHub應用程式提供與精細度PAT相同，具高度針對性的權限選項和管理員控制，並且與潛在離開公司和專案的個人用戶無關。目前精細度PAT僅支援REST API，未來還會提供GraphQL支援。</p> </div></div></div>
2022/10/19 23:19作者李建興https://www.ithome.com.tw/news/153704
德國媒體集團遭勒索軟體攻擊，報紙與電子報都停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.stimme-mediengruppe.de/Cyberangriff/" target="_blank">德國媒體集團Stimme Mediengruppe上周五（10/14）遭到勒索軟體攻擊</a>，所有系統都被鎖住，癱瘓了旗下媒體的運作，連平面報紙或是電子報都無法出版。</p> <p>Stimme Mediengruppe旗下媒體包括Heilbronn Stimme、echo、Brettener Woche、pVS、Stimme Logistik與RegioMail。根據該集團的說明，駭客的攻擊發生在上周四晚上至周五，到了周五早上，大多數的媒體都因此而癱瘓，從電話、電子郵件、紙本報紙到電子報全都停擺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Stimme%20Mediengruppe.png" style="width: 600px;" /></p> <p>幸好echo24.de與stimme.de還能正常運作，提供每日最新消息，stimme.de也暫時撤下了付費牆，並由Brettener Woche印製了6頁的緊急版本。</p> <p>雖然系統尚未完全復原，但發行量約7.5萬份的Heilbronn Stimme周一（10/17）即出版了28頁的電子報，並供所有人免費存取，周二（10/18）進一步印製了平面報紙。</p> <p>Heilbronn Stimmet總編輯Uwe Ralf Heer對外表示，相關攻擊是由知名的勒索集團所發動，加密了Stimme Mediengruppe集團的系統，並留下了勒索信。</p> <p>不過，Stimme Mediengruppe以仍在調查當中為由，並未透露包括贖金等攻擊細節。</p> </div></div></div>
2022/10/19 23:48作者陳曉莉https://www.ithome.com.tw/news/153713
Oracle Alloy供企業獨立營運並經營雲端基礎設施服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Oracle推出了一個新的雲端基礎設施平臺<a href="https://www.oracle.com/news/announcement/ocw-oracle-alloy-brings-power-of-cloud-to-masses-2022-10-18/">Alloy</a>，可讓組織成為雲端供應商，向終端用戶提供自家營運的OCI（Oracle Cloud Infrastructure）服務，組織可以在本地資料中心內獨立且完全控制雲端服務營運，滿足資料控制和資料主權要求，對於高度監管的產業，如醫療保健和金融服務，便可以使用自己的硬體來建構雲端服務。</p> <p>Alloy使服務供應商、軟體供應商和金融機構等組織，可以立即成為雲端供應商，向其用戶推出新的雲端服務，這些組織可以提供全套雲端服務、品牌化和客製化體驗，並且綑綁額外的加值服務和應用程式，以滿足垂直市場的特殊需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/rc24-oracle-alloy.jpg" style="width: 580px;" /></p> <p>由於組織可以在自己的資料中心獨立執行Alloy，完全控制其營運，滿足特殊的監管需求。Alloy使組織能夠在雲端服務中加入更多客製化和控制功能，使其不受限制地進行創新，像是提供公部門和需要將工作負載保留在國內，並獨立營運自有資料中心的使用案例。</p> <p>Alloy將OCI許多基礎架構和平臺服務擴展至組織的環境，不論是出於效能和資料主權等原因，都能使雲端環境更接近本地，Alloy能夠提供與OCI相同的100多種基礎設施和平臺服務，同時組織也可以在自己資料中心使用預整合硬體和軟體平臺，針對市場需求訂製產品。</p> <p>組織能使用Alloy以自有品牌提供雲端服務，控制商業條款與客戶關係，同時也能使用客製化的OCI控制臺、通知、警示、SDK和文件，也能夠設定定價、帳戶類型和折扣計畫，結合Oracle Fusion Cloud ERP產品的嵌入式財務管理功能，組織可以管理客戶生命周期，開立發票和計費。</p> </div></div></div>
2022/10/19 23:50作者李建興https://www.ithome.com.tw/news/153705
【資安日報】2022年10月19日，Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Str…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache針對旗下的程式庫Commons Text，在9月底修補重大漏洞CVE-2022-42889，並於近日提出警告。這個漏洞引起不少研究人員高度關注，但原因為何？有資安專家指出，由於有許多Java專案都採用這個程式庫，嚴重程度很可能直逼Log4Shell。</p> <p>滲透測試工具Cobalt Strike近日發布更新，原因是修補一項9月下旬修補不全引發的RCE漏洞CVE-2022-42948。軟體開發商表示，這項漏洞涉及該工具所使用的框架。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://cofense.com/blog/scammers-are-targeting-hurricane-relief-funds-through-fema"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊恩颶風災情慘重，美國政府救濟金發放被駭客盯上，駭客透過即時通訊討論如何冒領的內容曝光</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FEMA-Image-1-FEATURED-IMAGE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FEMA-Image-1-FEATURED-IMAGE.jpg" style="width: 300px; float: right;" /></a>伊恩颶風重創美國佛羅里達州，該國政府對此提供民眾救濟金，但傳出有人意圖詐領的現象。資安業者Cofense發現，多個駭客WhatsApp群組流傳申請災害補助的資訊，內容包含在DisasterAssistance.gov網站填寫表格的螢幕截圖，但其實相關的對話，都是駭客之間交流如何向聯邦緊急事務管理署（FEMA）詐領救濟金，過程中他們會填寫竊得或買來的社會安全碼（SSN）來提出申請。研究人員指出，這些企圖詐領救助金的人士很可能都來自奈及利亞，並向FEMA通報。</p> <p>郵件安全業者Inky、SlashNext也發現針對佛羅里達州民眾的釣魚郵件攻擊，並研判目標是為了騙取個資，而有可能被用於冒領政府補助。</p> <h3><a href="http://www.ic3.gov/Media/Y2022/PSA221018"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">需要就學貸款的美國學生遭網路釣魚攻擊鎖定</span></strong></a></h3> <p>美國針對學生推出聯邦學生援助計畫（Federal Student Aid）並於近日開放申請，美國聯邦調查局提出警告，駭客也在此同時盯上這些想要申請優惠貸款的學生──他們會設置樣貌雷同的詐騙網站，並以釣魚郵件引誘人們上鉤，進行竊取受害者的資料，或是巧立名目收取各式費用。</p> <h3><a href="https://labs.withsecure.com/advisories/microsoft-office-365-message-encryption-insecure-mode-of-operation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Microsoft 365的訊息加密功能可能會洩漏結構性資訊</span></strong></a></h3> <p>資安業者WithSecure提出警告，微軟Office 365提供的訊息加密（OME）機制，因使用電子密碼本（ECB）的保護模式不夠安全，有可能洩漏關鍵資訊。研究人員強調，利用此漏洞不需要知道加密金鑰，所以，就連自帶金鑰或是類似的加密金鑰保護措施，都無法緩解這個問題。然而，微軟認為這不算是漏洞，所以不會變更程式碼，也不會發布CVE漏洞公告。為此，研究人員呼籲用戶應避免使用OME。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.darkreading.com/application-security/researchers-keep-a-wary-eye-on-critical-new-vulnerability-in-apache-commons-text"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">出現影響程度直逼Log4Shell的漏洞！Apache修補Commons Text重大漏洞CVE-2022-42889</span></strong></a></h3> <p>Apache軟體基金會（ASF）於9月底發布字串演算法程式庫Commons Text 1.10.0，修補重大漏洞CVE-2022-42889，其CVSS風險評分達到9.8分，影響1.5至1.9版Commons Text，起因是該軟體執行變量差值（interpolation）採用的預設參數不安全。最近該基金會發布資安公告呼籲用戶儘速更新，美國國家標準暨技術研究院（NIST）也提出相關警告。</p> <p>由於該程式庫在Maven Central套件庫約有2,558個專案採用，資安專家Kevin Beaumont認為，這樣的漏洞很有可能引發類似Log4Shell的效應。資安業者GreyNoise表示，此漏洞已有概念性驗證（PoC）攻擊程式出現。</p> <h3><a href="https://securityintelligence.com/posts/analysis-rce-vulnerability-cobalt-strike/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">滲透測試工具Cobalt Strike出現重大RCE漏洞，起因是修補不全造成</span></strong></a></h3> <p>軟體開發商HelpSystems發出公告，<a href="https://www.cobaltstrike.com/blog/out-of-band-update-cobalt-strike-4-7-2/">他們針對滲透測試工具Cobalt Strike的漏洞CVE-2022-42948，發布外部修補（out-of-band patch）</a>，這項漏洞只影響4.7.1版Cobalt Strike。</p> <p>起因是該公司於9月20日發布的更新程式不完整，原本是要修補跨網站程式碼（XSS）漏洞CVE-2022-39197，卻被IBM的研究人員發現，駭客可在特定情況下，透過開發商用於設計使用者操作介面的Java Swing框架，來觸發遠端程式碼執行攻擊。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://github.com/cisagov/RedEye/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國政府提供紅隊分析工具RedEye</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/redeye-hero-screenshot-by_cisa_on_github.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/redeye-hero-screenshot-by_cisa_on_github.jpg" style="width: 300px; float: right;" /></a>美國網路安全及基礎設施安全局（CISA）與美國能源部太平洋西北國家實驗室（CNNL）聯手，開發紅隊分析工具RedEye，並透過GitHub以開放原始碼的方式提供。此為互動式分析工具，可用來視覺化及匯報紅隊的命令及控制活動，讓操作者可快速存取複雜的資料，評估緩解策略，最終促進有效的決策，且只需少數的人為介入就能達成目的。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153700"><span style="color: rgb(0, 0, 0);">行政院將修正禁用中國資通產品條例，例外使用需經資安長同意</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/verizon-notifies-prepaid-customers-their-accounts-were-breached/"><span style="color: rgb(0, 0, 0);">Verizon警告預付卡用戶手機門號挾持攻擊，至少有250個用戶受到影響</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/police-dismantles-criminal-ring-that-hacked-keyless-cars/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國、拉脫維亞、西班牙警方逮捕31名偷車賊，涉及竄改汽車診斷系統繞過無錀匙啟動機制</span></span></strong></a></p> <p><a href="https://www.smh.com.au/technology/online-wine-seller-vinomofo-suffers-major-data-breach-20221018-p5bqlf.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路酒商Vinomofo傳出外洩客戶資料</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153685">【2022年10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153666">【2022年10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153639">【2022年10月14日】資安業者發現簡中介面的C2攻擊框架Alchimist、駭客使用新網釣攻擊套件租賃服務Caffeine</a></strong></strong></strong></p> </div></div></div>
2022/10/19 18:36作者周峻佑https://www.ithome.com.tw/news/153707
微軟釋出Windows 10 22H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2022/10/18/how-to-get-the-windows-10-2022-update/" target="_blank">微軟周二（10/18）宣布</a>，已開始釋出Windows 10 22H2更新，只要是目前執行Windows 10 20H2或之後版本的裝置，都能升級至Windows 10 22H2。</p> <p>就算微軟在一年前（2021年10月5日）便已推出最新的Windows 11，但Windows 10仍是市場上最普及的Windows作業系統。<a href="https://gs.statcounter.com/windows-version-market-share/desktop/worldwide/" target="_blank">依據Statcounter的統計</a>，目前全球的Windows裝置中，仍有高達71.87%執行Windows 10，最新的Windows 11只占了13.56%，Windows 7以10.68%排名第三。另根據<a href="https://www.ithome.com.tw/news/153553" target="_blank">專門建置IT資產管理解決方案的Lansweeper調查</a>，組織內所使用的Windows裝置中，Windows 10占有率更高達81.87%，只有2.61%安裝了Windows 11。</p> <p>不過，微軟並未特別公布Windows 10 22H2的特色或新功能，僅說該版本著重於Windows整體經驗的品質改善，諸如既有功能的品質、生產力與安全等。</p> <p>有興趣升級的使用者可透過Windows Update檢查是否有可更新的版本，再選擇下載與安裝（Download and install ），系統會在下載完成時通知使用者，並由使用者自行決定方便安裝的時間。</p> <p>至於微軟則建議商用客戶可先在少數裝置上部署Windows 10 22H2，以確認相關的程式、裝置與架構都能相容。</p> <p>微軟也提醒，所有Windows 10 21H1版本都將在2022年的12月13日終止服務，Windows 10 20H2的大型企業與教育版則會在2023年的5月9日終止服務，屆時執行這些版本的裝置都將無法再收到每月的安全及品質更新。</p> <p>而新的Windows 10 22H2家用與專業版仍能再收到18個月的服務，大型企業與教育版則有30個月。</p> </div></div></div>
2022/10/19 16:33作者陳曉莉https://www.ithome.com.tw/news/153703
Meta同意出售GIF圖庫平臺Giphy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭及市場管理局（Competition and Markets Authority，CMA）周二（10/18）公布了Meta併購GIF圖庫平臺Giphy一案的最終裁決，指出該交易確實危害市場競爭，已正式要求Meta出售Giphy，而Meta亦已決定接受此一裁決。<a href="https://www.cnbc.com/2022/10/18/facebook-parent-meta-ordered-to-sell-giphy-by-uk-competition-regulator.html" target="_blank">根據《CNBC》的報導</a>，這應該是全球首次有監管機關撤回科技巨擘（Big Tech）已經完成的交易。</p> <p>成立於2013年的Giphy主要提供GIF動畫檔的資料庫與搜尋引擎，是全球網路最大的GIF動態圖庫，<a href="https://www.ithome.com.tw/news/137664" target="_blank">Meta是在2020年5月宣布收購Giphy</a>，雙方並未公布交易價格，但外傳此一交易價值4億美元。</p> <p>然而，<a href="https://www.ithome.com.tw/news/146188" target="_blank">CMA卻在去年8月針對此案展開調查</a>，<a href="https://www.ithome.com.tw/news/148108" target="_blank">同年12月便認為</a>該交易危害市場競爭，要求Meta出售Giphy，但Meta選擇向英國競爭事務上訴審裁處（Competition Appeal Tribunal，CAT）提出上訴，結果CAT在今年7月決定維持CMA的裁決，而CMA即於本周公布了正式裁決，亦即要求Meta剝離Giphy。</p> <p>CMA指出，Meta與Giphy的合併案將阻止或限制其它社交平臺存取Giphy的GIF檔，特別是在Meta旗下社交品牌於英國市占率已高達73%之際，或者是利用Giphy的資源來存取其它社交平臺的客戶資料，此外，Giphy原本有機會成為Meta於陳列式廣告上的競爭對手，但該交易則直接消弭了相關競爭。</p> <p>CMA指出，唯一避免衝擊市場競爭的方法，是將Giphy出售給其它被批准的買家。</p> <p>總之，CMA與CAT的裁決讓Meta不得不剝離Giphy。《CNBC》取得了Meta對此事的聲明，表示該公司雖然對此一判決感到失望，但決定接受此事，並將與CMA密切合作以順利出售Giphy。</p> </div></div></div>
2022/10/19 15:26作者陳曉莉https://www.ithome.com.tw/news/153702
終結連兩季的下滑，Netflix用戶增加逾200萬，盤後上漲14%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s22.q4cdn.com/959853165/files/doc_financials/2022/q3/FINAL-Q3-22-Shareholder-Letter.pdf" target="_blank">影片串流龍頭Netflix周二（10/18）公布該公司今年第三季財報</a>，該季Netflix締造了79.3億美元的營收，成長5.9%，每股盈餘為3.1美元，此外，該季Netflix付費訂閱用戶數增加了241萬，使其全球訂閱人口達到2.23億人，終止了連兩季的衰退，由於財報超乎預期，讓該公司當天盤後股價大漲14.38%，達275.5美元。</p> <p>值得注意的是，縱使外界認為Amazon與Disney +或Hulu是Netflix最強勁的競爭對手，但Netflix指出，該平臺仍是多數串流用戶的首選，在英國有8.2%的影片觀賞是透過Netflix，都是Amazon或Disney +的兩倍以上，Netflix在美國電視時間的占比則是7.6%，是Amazon的2.6倍，也是Disney +的1.4倍。</p> <p>Netflix亦強調，有鑑於這些競爭對手都投入了龐大的金額來推動訂閱用戶以及與用戶的交流，但要興建一個規模龐大且成功的串流業務並不容易，因此估計它們都是虧損的，光是在今年其總計虧損金額可能超過100億美元，但Netflix卻有50億美元以上的營業利潤。</p> <p>除了影片串流服務之外，Netflix於去年11月推出的遊戲服務即將屆滿一年，目前該平臺提供了35款行動遊戲。目前Netflix正在開發另外的55款遊戲，並有許多遊戲與Netflix的版權有關，並說已看到跨越電視/電視及遊戲內容的巨大機會，例如在動畫《電馭叛客：邊緣行者》（Cyberpunk: Edgerunners）上映後，該遊戲出版商CD Projekt的PC遊戲突然變得很熱門。</p> <p>另一方面，<a href="https://www.ithome.com.tw/news/153633" target="_blank">Netflix準備在今年11月於12個市場推出更便宜的廣告版服務</a>。Netflix於財報中揭露，這12個市場的電視與串流媒體廣告支出規模為1,400億美元，已占全球市場的75%以上，其廣告版訂價策略則是比原先最基本的價格還要便宜20%~40%，例如美國的無廣告基本版的每月費率為9.99美元，但廣告版則是6.99美元，且廣告商對此一服務的反應非常積極。</p> <p>而最受到使用者關注的應該就是Netflix打擊帳號分享的策略了。Netflix說，他們已經找到一種如何自帳號分享獲利的方法，而且會在明年初擴大實施，<a href="https://www.ithome.com.tw/news/153677" target="_blank">將讓使用他人帳號的使用者可移轉自己的個人檔案</a>，同時讓借人帳號的用戶得以建立子帳號來替未住在一起的親友支付額外的費用。Netflix也預期在推出廣告版的這12個國家中，移轉個人檔案的功能會相對熱門。</p> </div></div></div>
2022/10/19 13:21作者陳曉莉https://www.ithome.com.tw/news/153701
蘋果更新iPad家族，搭載M2晶片的iPad Pro問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周二（10/18）更新了iPad家族產品線，此次更新的是<a href="https://www.apple.com/newsroom/2022/10/apple-unveils-completely-redesigned-ipad-in-four-vibrant-colors/" target="_blank">入門款的iPad</a>，以及最高階的<a href="https://www.apple.com/newsroom/2022/10/apple-introduces-next-generation-ipad-pro-supercharged-by-the-m2-chip/" target="_blank">iPad Pro</a>。它們都採用最新的iPadOS 16作業系統，但前者搭載的是2020年用於iPhone 12上的A14仿生晶片，後者則是搭載今年才問世、已應用於Mac產品線上的M2晶片，第十代iPad的最低售價為449美元（臺灣售價14,900元新臺幣），iPad Pro則是799美元（27,900元新臺幣），即日起開放預購，預計於10月26日出貨，惟臺灣上市日期未定。上一代的iPad與iPad Pro都是在去年出爐。</p> <p>相較於第九代的iPad採用10.2吋螢幕、A13晶片、800萬與1,200萬畫素的相機，新一代iPad將螢幕尺寸擴大到10.9吋，採用A14晶片，相機全面升級至1,200萬畫素與橫向超廣角。升級的晶片讓第十代iPad的CPU與繪圖效能改善了20%與10%，機器學習能力則增加了80%，蘋果亦號稱它的速度是市場上最熱門Android平板電腦的5倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Apple-iPad-10th-gen-Liquid-Retina-display-221018.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p>此外，新iPad支援Wi-Fi 6、5G與USB-C，另一個賣點則是它更多彩了，提供銀色、藍色、粉紅色與黃色供消費者選購。在第十代iPad發表之際，蘋果官網仍持續銷售第九代iPad，價格為329美元（10,900元新臺幣）。</p> <p>高階的iPad Pro則有11吋與12.9吋兩種版本，與前一代的主要差異在處理器。M2處理器本身的8核CPU就比M1快了15%，其10核GPU的繪圖效能亦比前一代快了35%，記憶體頻寬亦比M1多出50%，使得新版iPad Pro在處理機器學習任務上更為強大。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Apple-iPad-Pro-Magic-Keyboard-M2-hero-2up-221018.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>此外，新一代的iPad Pro與iPadOS 16進一步釋放了第二代Apple Pencil的能力。現在iPad Pro可偵測到位於螢幕上方1.2公分處的Apple Pencil，讓使用者可更精準地落筆，例如在手寫轉文字的Scribble功能中，在Apple Pencil靠近螢幕時，Scribble的文字欄位便會自動變大，而且轉換時間也更快。</p> <p>M2版iPad Pro支援Wi-Fi 6E及5G，11吋版本的最低售價為799美元（27,900元新臺幣），12.9吋版本則是1,099美元（37,900元新臺幣）。</p> <p>上述新款iPad都採用最新的iPadOS 16，新版Messages允許使用者編輯與收回訊息，或是回復所刪除的訊息；新增的生產力程式Freeform可支援Apple Pencil與協作；Safari將能與他人共享分頁群組；可設定郵件寄送時間或是刪除剛寄出的郵件；還有可自動辨識圖片中文字的Live Text功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Apple-WWDC22-iPadOS-16-Freeform.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">iPadOS 16新增的生產力程式Freeform支援Apple Pencil與協作，圖片來源／蘋果</span></span></p> </div></div></div>
2022/10/19 11:32作者陳曉莉https://www.ithome.com.tw/news/153698
傳HoloLens讓美國陸軍感覺頭暈、噁心等不適症狀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>報導指出，提供美國陸軍軍事及訓練用的微軟混合實境（mixed reality，MR）頭戴裝置，讓測試的美國大兵出現頭暈、眼睛疲勞或頭痛等症狀。</p> <p><a href="https://www.ithome.com.tw/news/143585" target="_blank">美國陸軍2021年和微軟簽下220億美元合約</a>採購HoloLens作為其整合式視覺擴增系統（Integrated Visual Augmentation System，IVAS），提供美國陸軍近距離作戰部隊作為作戰、演習及訓練使用。以HoloLens打造的軍事設備具備整合式抬頭顯示器，可顯示高解析度夜視、熱感測及穿戴式感測器數據，也整合擴增實境（AR）與機器學習技術，可提供軍隊的混合實境（MR）訓練環境。</p> <p><a href="https://www.businessinsider.com/microsoft-hololens-like-army-device-gets-poor-marks-from-soldiers-2022-10" target="_blank">《Business Insider》</a>及<a href="https://www.bloomberg.com/news/articles/2022-10-13/microsoft-s-us-army-version-of-hololens-goggles-gave-soldiers-nausea-headaches" target="_blank">《彭博》</a>（Bloomberg）近日分別取得美國國防部針對HoloLens使用者測試的報告，似乎顯示阿兵哥們用得並不舒服。</p> <p>彭博社宣稱取得五角大厦一份五到七月的79頁HoloLens實測報告，指出有美國士兵反映噁心、頭痛及眼睛疲勞等症狀。另外，在出現「影響任務的生理不適狀況」的使用者之中，80%在使用3小時內出現身體狀況。</p> <p>HoloLens引發使用者頭暈、噁心的問題常見於VR、AR等裝置，也是目前業界技術研發的重點之一。但除了造成使用者身體狀況外，《Business Insider》還報導，HoloLens鏡面的反光可在數百公尺外看到，會曝露作戰軍人位置。一名使用者抱怨這東西會害死他們。</p> <p>《Business Insider》引述一未具名微軟員工說法，指出在6次美國軍方的操作示範評估中，IVAS頭戴裝置有4次無法通過。《彭博》則引述報告中美國陸軍操作測試及評估主任Nickloas Guertin的總結，指IVAS頭戴裝置需要改進的地方包括視野、低光源感測器、顯示器清晰度，甚至一些必要功能也運作不太穩定。</p> <p>但報告也指出，HoloLens也有不錯的地方，像是平均斷線時間已縮短，而且最近一次軟體更新已改善了部隊移動時的進行和協同。</p> <p>根據這紙218.8億美元的合約下，微軟將在10年內提供美陸軍12萬副AR頭戴裝置。</p> <p>開發HoloLens的微軟部門近日處於組織重整。發明HoloLens的Alex Kipman因和組織不睦及個人言行問題，於年中離開公司，<a href="https://www.ithome.com.tw/news/151356" target="_blank">HoloLens部門也分別併入Teams及Windows裝置部門</a>，持續投入元宇宙解決方案的發展。<a href="https://www.ithome.com.tw/news/149215" target="_blank">微軟也駁斥</a>終止第三代HoloLens開發的傳言。</p> </div></div></div>
2022/10/19 11:51作者林妍溱https://www.ithome.com.tw/news/153699
政院將修正禁用中國資通產品條例，例外使用需經資安長同意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國眾議院議長裴洛西八月訪臺時，有超商以及火車站的電子看板遭駭，經查是因為業者使用中國廣告播放軟體致使駭客得以利用漏洞、置入惡意內容。這樣的惡意行為也引發全民重視，行政院數位發展部部長唐鳳在該部掛牌第一則公文就是，預告將修訂於2019年4月18日行政院發布的「各機關對危害國家資通安全產品限制使用原則」，並提交公共政策參與平臺討論、收集各界意見。數位發展部表示，目前各界意見支持修法，一旦完成草案修訂，將立即公布適用。</p> <p>此次修訂的的內容，主要在於擴大公務機關原有禁用中國資通產品的範圍，更特別的是，更首度納入，如果公務機關在不得已的情況下，只能採用中國製造的資通訊產品時，必須獲得該機關以及上級機關兩位資安長的同意，並且跟數位發展部報備後，並將使用的資通訊產品造冊列管。</p> <h2><strong>租賃公共場合廣告牆的業者，也必須遵守禁用中國製資通產品規定</strong></h2> <p>根據「各機關對危害國家資通安全產品限制使用原則修正草案」中的新增的修訂內容，未來該條例的適用範圍將從原本的公務機關擴及到委外合作廠商所使用的軟、硬體及服務，都受到該法的規範。</p> <p>新增的修正草案內容指出，各機關自行或委外營運，提供公眾活動或使用場地所使用的產品，不論其產品是否為機關財產，都必須遵守該條例所規定禁用產品相關要求。</p> <p>也就是說，包括像是臺鐵等公共場合中，如果有提供民間業者租賃的廣告牆、電子看板等，未來在該條例公布後，都必須在委外契約或是場地使用規定中明訂，租賃業者所使用的軟、硬體及服務等相關產品，都不可以使用中國製的產品，都必須要遵守該禁用規定，公務機關也應該負起督導的責任。</p> <p>至於目前還沒有到期的契約，若經盤點，已經有使用中國製的軟、硬體或服務，則需注意是否會產生新的資安威脅。</p> <h2><strong>若必須使用中國製資通產品，新增兩道資安長核可程序</strong></h2> <p>若因特殊情況，不得不採購並使用中國製的資通產品時，例如外交部某些駐外國家當地僅提供中國製的資通產品時，修訂法條中也增訂兩道把關門檻，希望可以藉此降低不得不使用中國製資通產品所帶來的風險。</p> <p>修法內容中指出，機關如果需要採購或使用中國製資通產品時，必須經機關資安長以及上級機關長逐級核可後，函報本法主管機關核定並修正其應該遵守的事項。</p> <p>該修正條例中也規定函報的方式，如果沒有上級機關的話，就直接函報本法主管機關核定，例如直轄市政府、各縣市政府；若是行政院所屬機關，則逐級函報道行政院所屬部會資安長核可後，再由部會函報本法主管機關核定；如果是行政院部會的話，則尤其資安長核可後，再函報本法主管機關核定。</p> <p>但該修正條例中也規定，如果不是行政院部會或是所屬機關以外的單位，但有上級機關的話，則需要逐級函報上級機關核可後，再由上級機關函報本法主管機關核定。例如，國立大學如需採購中國製資通產品時，需經學校資安長及上級機關教育部資安長核可後，再由上級機關教育部函報本法主管機關核定。</p> <p>此外，根據條文規定，各機關如需採購或使用中國製資通產品時，也應該敘明理由、經本法主管機關核可後，以專案方式購置並列冊管理，且需遵守指提供特定區域和特定人員使用；不得使公務網路環境介接；不得處理或儲存機關公務資訊；測試或檢驗結果應產出報告；當購置理由消失或使用年限屆滿，應該立即銷毀。</p> </div></div></div>
2022/10/19 12:10作者黃彥棻https://www.ithome.com.tw/news/153700
微軟裁員數百人，可能影響Xbox、Edge等多個部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際媒體報導，微軟近日裁減數百名員工，影響Xbox、Edge、Azure等多個部門。</p> <p>《Axios》及《Business Insiders》周一首先報導這項消息。<a href="https://www.axios.com/2022/10/18/microsoft-layoffs-latest-tech-firm-cuts" target="_blank">《Axios》</a>取得微軟證實裁員消息，且涵括不同部門，但微軟拒絕透露裁員人數。但消息人士指出，這波裁員人數在1千以內。</p> <p><a href="https://www.businessinsider.com/microsoft-layoffs-widespread-xbox-azure-government-2022-10" target="_blank">《Business Insider》</a>的消息人士也稱人數不到1千，受影響部門涵括Xbox、Edge、開發次世代科技的團隊及技術長辦公室等多個部門。<a href="https://twitter.com/tomwarren/status/1582188080873689088" target="_blank">《The Verge》</a>的消息來源則指稱，體驗＋裝置部門、法務部門也受影響。</p> <p><a href="https://www.ign.com/articles/microsoft-lays-off-hundreds-of-staff" target="_blank">《IGN》</a>引述微軟20多年老將<a href="https://twitter.com/kclemson/status/1582175419268501504" target="_blank">KC Lemson自爆</a>周一一早從財務長辦公室產品經理一職被裁，間接證實了微軟裁員消息。<a href="https://www.ign.com/articles/microsoft-lays-off-hundreds-of-staff" target="_blank">另有消息人士指出</a>，戰略遊戲模擬的開發部門、Azure政府業務部門恐怕也難倖免於外。</p> <p>這次裁員是否和微軟今年稍早公布的計畫有關不得而知。<a href="https://www.ithome.com.tw/news/151917" target="_blank">微軟7月對內宣布</a>，將從其18萬名員工裁減比例小於1%的員工。微軟發言人當時對媒體指出，和所有公司一樣，微軟也定期評估業務優先性，並依此做出結構調整，也表示未來一年內，會持續投資業務並增加整體員額。</p> <p><a href="https://www.ithome.com.tw/news/151356" target="_blank">8月間媒體報導</a>，微軟裁撤消費市場業務部門，影響約200人。而6月間，一度被傳終止開發第3代產品的HoloLens部門也一切為二，分別併入Teams及裝置部門。</p> <p><a href="https://www.ithome.com.tw/news/152137" target="_blank">根據微軟7月公布</a>的會計年度2022年第4季財報，受到大環境景氣影響、美元升值、PC市場疲弱及撤出俄羅斯的成本等影響，上季微軟營收僅成長12%，低於預期，其中Windows OEM及Xbox內容和服務兩部分各衰退2%及6%。</p> <p>由於今年春天景氣開始轉壞，除了微軟，也有多家公司傳出精簡人事。<a href="https://www.ithome.com.tw/news/153576" target="_blank">《彭博社》上周報導</a>，因應個人電腦市場下滑，英特爾可能正計畫人數達數千人的大規模裁員以節省企業成本。<a href="https://www.marketwatch.com/story/microsoft-to-cut-nearly-1-000-jobs-reports-11666062022" target="_blank">《MarketWatch》</a>則報導，蘋果、甲骨文也都有裁員行動。Google及Meta等矽谷科技公司則宣布凍結人事。</p> </div></div></div>
2022/10/19 10:43作者林妍溱https://www.ithome.com.tw/news/153697
Google公布執行ML應用的嵌入式作業系統KataOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應愈來愈多物聯網裝置執行機器學習（machine learning，ML），<a href="https://opensource.googleblog.com/2022/10/announcing-kataos-and-sparrow.html" target="_blank">Google近日公布了</a>為執行ML應用的物聯網裝置設計的嵌入作業系統KataOS，強調具備高度安全性。</p> <p>隨著愈來愈多智慧裝置用於蒐集和處理資訊，這些嵌入式裝置的安全性更為重要，以確保它們蒐集的可辨識身分（personally identifiable）資料，像是人們的照片或語音記錄不會被惡意程式存取。</p> <p>但Google指出，現行嵌入式系統安全都是在現存的作業系統上加入軟體功能，或是額外增加一些ASIC硬體，這樣是不夠的。因此Google Research部門打造了一個為專門執行ML應用的嵌入式硬體最佳化的底層平臺KataOS，也提供參考實作Sparrow。</p> <p>Google AmbiML開發小組說明，他們選擇seL4作為新OS的底層，因為它以安全為設計核心，數學上證明足夠安全，具備機密性、資料完整性及可用性。透過seL4 CAmkES框架，可供Google開發出可以統計定義及分析的系統元件。KataOS的平臺安全性讓惡意應用程式幾乎不可能突破OS核心的系統，而系統元件安全性也經得起驗證。</p> <p>此外，KataOS幾乎完全是以Rust實作，從根本上提供了軟體安全性，因後者移除了一整類的bug，像是Off-by-One（即程式向緩衝區寫入時，寫入的位元組數僅超過了緩衝區申請的位元組數1個位元）漏洞、以及緩衝溢位漏洞。</p> <p><a href="https://github.com/AmbiML/sparrow-manifest" target="_blank">目前KataOS已透過GitHub開源分享</a>，廣邀開發人員加入開發及測試陣容。公布的資源包括KataOS大部份核心元件，像是Rust開發框架sel4-sys crate、Rust撰寫的rootserver、以及針對seL4做的核心修改。此外Google還和Antmicro合作以後者的Renode虛擬開發框架提供GDB除錯和模擬。</p> <p>而為了示範KataOS，<a href="https://github.com/AmbiML/sparrow-manifest" target="_blank">Google也打造了參考實作Sparrow</a>，後者整合了KataOS及安全的硬體平臺，像是執行於RISC-V的OpenTitan。但現階段Sparrow仍以QEMU模擬執行標準的64-bit ARM平臺為主。</p> <p>現在GitHub上的程式碼只有早期版本的KataOS，不過Google小組說他們最終目標是開源所有Sparrow元件，包括硬體和軟體設計。Google也說，KataOS長期而言可以載入並執行非CAmkES框架開發的第三方應用程式，但執行這些程式的必要元件現在也還未提供，預期未來會再公布這些功能。</p> </div></div></div>
2022/10/19 10:04作者林妍溱https://www.ithome.com.tw/news/153688
GitHub Copilot建議結果包含受保護程式碼，訓練資料來源合法性爭議再起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/DocSparse/status/1581463450269515777">德州農工大學電腦科學教授Tim Davis在推特上發文</a>，提到GitHub Copilot在他禁用公開程式碼設定下，寫出一大區塊他應受版權保護的程式碼，使用的過程沒有標註歸屬（Attribution），也沒有LGPL授權，他貼出自己與GitHub Copilot在稀疏矩陣轉置、稀疏矩陣加法的程式碼，認為兩者幾乎一模一樣，GitHub Copilo還有其他稀疏矩陣的程式碼，也同樣與Tim Davis的程式碼有高度雷同。</p> <p>其他開發者按照Tim Davis的設定，重現了這段有爭議的程式碼，System76技術總監轉推了<a href="https://twitter.com/jeremy_soller/status/1581638803697332226">Tim Davis的推文</a>，評論這個事件是GitHub Copilot非法洗程式碼的例子，這串推文引來了<a href="https://twitter.com/alexgraveley/status/1581762356207841281">GitHub Copilot創造者Alex Graveley回推</a>，他認為Tim Davis所編寫的程式碼和GitHub Copilot產生的程式碼不同，雖然很像但是不同，並提到如果有人可以發明一種演算法，自動辨識程式碼是由其中一方衍生出來的，那就可以申請專利了。</p> <p>Alex Graveley在自己的推特時間軸發文，<a href="https://twitter.com/alexgraveley/status/1581694645418926080">寫道</a>GitHub Copilot累積到現在，被指控的問題共有9個，包括剽竊程式碼、在程式碼中引入漏洞，甚至讓人變笨。Alex Graveley嘲諷這些指控，認為是來自恐懼新技術保守人士的莫須有指控。</p> <p>另一篇在<a href="https://news.ycombinator.com/item?id=33240341">HackerNews</a>引起熱議的文章<a href="https://githubcopilotinvestigation.com/">〈Maybe you don't mind if GitHub Copilot used your open-source code without asking.But how will you feel if Copilot erases your open-source community?〉</a>是一位名叫Matthew Butterick的律師，要帶頭對GitHub Copilot發起訴訟。</p> <p>Matthew Butterick及其事務所，正在調查GitHub Copilot違反對開源作者和終端用戶法律義務的潛在訴訟案，文中提到，絕大多數的開源軟體都是根據授權發布，這些授權授予用戶部分權利，但同時使用者必須負起某些義務，像是保留精確的程式碼歸屬，這些授權將會是軟體開發者能夠宣稱合法擁有該程式碼的依據。</p> <p>Matthew Butterick表示，既然微軟和OpenAI都坦承Copilot和Codex，皆使用GitHub公共儲存庫的開源軟體訓練，那就必須遵守授權的義務，或是以授權例外在版權法下合理使用這些程式碼。如果微軟和OpenAI都是根據各自的開源授權使用程式碼儲存庫，則必須發布大量的程式碼歸屬，但Copilot並沒有提供明顯的歸屬。</p> <p>因此微軟和OpenAI勢必需要宣稱GitHub Copilot為合理使用這些程式碼，GitHub執行長Nat Friedman也在Copilot技術預覽階段，稱Copilot在公共資料上訓練機器學習系統是合理使用。不過這個論點軟體自由保護協會（Software Freedom Conservancy）並不買單，而且微軟和OpenAI也沒有提供GitHub合理使用這些程式碼的法律地位。</p> <p>這件事情很重要的原因，Matthew Butterick認為，Copilot切斷開源軟體作者與開發者中間的法律關係，也就是微軟建立起了新的圍牆，使開發者無法探索開源傳統開源社群，開源作者被隱藏在Copilot的大型程式碼庫中，進而嚴重傷害開源社群發展，因此在損害變得難以彌補之前，他必須測試Copilot的合法性，所以才發起訴訟。</p> <p>他也強調，他並非反對人工智慧輔助工具，但微軟可以選擇對開源社群更為友善的路徑，像是號召自願者，或是徵求有償貢獻訓練語料庫。</p> </div></div></div>
2022/10/18 22:35作者李建興https://www.ithome.com.tw/news/153682
Mastercard針對銀行推加密貨幣交易服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>信用卡與金融公司Mastercard推出<a href="https://www.mastercard.com/news/press/2022/october/mastercard-to-bring-crypto-trading-capabilities-to-banks/">Crypto Source計畫</a>，使銀行能夠提供安全的加密貨幣交易服務，加速進軍加密貨幣產業。Mastercard透過與授權加密貨幣託管供應商合作，Mastercard的合作夥伴將能獲得加密貨幣購買、持有和出售服務，還有身分、網路、安全和諮詢服務。</p> <p>Crypto Source採用Mastercard Crypto Secure，針對加密貨幣生態以及發卡單位需遵守的法律規範，提供額外的安全性。具體來說，Mastercard提供給銀行和金融科技公司的加密貨幣相關套件，包括能夠購買、持有和出售加密資產的技術和合作夥伴關係，而且也提供相對應的安全管理服務，涵蓋Mastercard身分驗證解決方案、加密貨幣分析、交易監控和反洗錢等功能。</p> <p>同時Crypto Source也擁有一系列加密貨幣支出和兌現功能，像是加密貨幣信用卡、開放銀行和跨境服務等，金融機構還可以獲得如開立數位收據，以及使用客戶忠誠度解決方案等Mastercard額外功能。加密貨幣計畫範圍很廣，包含計畫設計、產品開發和技術實作，以及在上市前的最佳化、行銷諮詢服務，提供銀行和金融公司端到端支援，協助開發大規模加密貨幣專案。</p> <p>而Mastercard的這項服務，是與區塊鏈基礎設施平臺Paxos合作，這項合作關係讓Paxos代表銀行進行加密資產的交易和託管服務，而Mastercard則會將這些功能整合到銀行介面中，提供終端消費者無縫體驗。</p> <p>Mastercard積極進入加密貨幣市場，接連併購了Finicity、Ekata、RiskRecon和CipherTrace金融科技公司，目標是要以特有的服務組合，支援金融機構開發替消費者管理加密資產的產品。目前Crypto Source正處於試驗性計畫階段。</p> </div></div></div>
2022/10/18 22:39作者李建興https://www.ithome.com.tw/news/153683
開源資料庫PostgreSQL 15強化多項資料庫操作效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源資料庫PostgreSQL全球開發組發布<a href="https://www.postgresql.org/about/news/postgresql-15-released-2526/">PostgreSQL 15</a>，該最新版本強化資料庫操作效能，並進一步改進本地和分散式部署的工作負載，包括排序等操作。</p> <p>在這個版本，PostgreSQL改進記憶體和磁碟的排序演算法，基準測試顯示根據排序的資料類型，可獲得加速達25％到400％。使用row_number()、rank()、dense_rank()和count()作為窗函式，在PostgreSQL 15也可獲得效能優勢，同時，SELECT DISTINCT查詢在新版本PostgreSQL中，已經可以平行執行。</p> <p>PostgreSQL 15效能改進的範疇也涵蓋封存和備份，其增加預寫日誌記錄（WAL）檔案對LZ4和zstd壓縮支援，這對於特定工作負載來說，可以同時在空間和效能上獲得好處，在部分作業系統，PostgreSQL 15增加了WAL中引用預擷取頁面的支援，加速恢復速度。</p> <p>PostgreSQL內建的備份指令pg_basebackup，現在則開始支援伺服器端的備份檔案壓縮，用戶可以選擇gzip、LZ4和zstd，另外，PostgreSQL 15讓用戶可以使用自定義模組進行封存，以消除使用殼層命令的額外成本。</p> <p>開發人員功能更新方面，PostgreSQL 15加入SQL標準MERGE指令，使開發者可以編寫條件SQL語句，這些語句可在單一語句中包含INSERT、UPDATE和DELETE操作。這個最新版本添加使用正規表示式檢查字串的函式，諸如regexp_count()、regexp_instr()、regexp_like()和regexp_substr()。</p> <p>PostgreSQL增加邏輯複寫功能的靈活性，對發布者提供列過濾和行列表功能，使用戶可以選擇從表格中所要複製的資料子集。PostgreSQL 15有讓用戶有更多處理衝突的手段，像是跳過重播衝突交易，以及在偵測到錯誤時，自動停用訂閱功能等。</p> <p>PostgreSQL 15加入了新的日誌記錄格式jsonlog，這種格式會使用定義的JSON結構輸出日誌資料，使用戶可以在結構化日誌系統方便地處理PostgreSQL日誌。</p> </div></div></div>
2022/10/18 22:43作者李建興https://www.ithome.com.tw/news/153684
.NET MAUI開始支援Xcode 14與iOS 16
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/dotnet-maui-xcode14/" target="_blank">微軟.NET多平臺應用程式UI（.NET MAUI）釋出更新</a>，對Apple開發工具Xcode 14以及最新的iOS 16提供支援，開發者可以使用UIKit和.NET MAUI建構應用程式，都將可以用到最新的SDK功能。官方提到，這個版本的其他Apple SDK與前一個版本相比並沒有變化。</p> <p>Visual Studio 2022提供開發者兩種在Windows上，開發iOS應用程式的方法，第一種是與Mac配對，第二種則是熱重啟。與Mac配對是將Visual Studio連接至本地網路上的Mac，安裝必要的建置工具，並使用該機器進行編譯和簽署應用程式。</p> <p>熱重啟則是讓開發者可以將iOS或iPadOS裝置，連接到Windows的Visual Studio 2022並直接進行開發，微軟提到，這個方法是最適合.NET MAUI應用程式的日常開發方法，當準備好發布應用程式的時候，開發者可以使用網路上的建置機器或是App Center對其進行簽署。</p> <p>在Mac開發iOS程式就直覺許多，只要安裝適用於Mac和Xcode 14的Visual Studio 2022，便可以開始.NET MAUI應用程式開發。</p> <p>目前微軟提供.NET 6和Visual Studio 2022支援，開發者需要使用Visual Studio 2022 for Mac 17.4第三預覽版，或是Visual Studio 2022 for Windows 17.3或17.4第三預覽版，並且安裝Apple開發者網站上的Xcode 14.0.x，微軟提醒，直接從Mac App Store安裝的版本，可能會因為自動更新到與.NET不相容的版本，因此建議開發者要手動下載安裝。</p> </div></div></div>
2022/10/18 22:46作者李建興https://www.ithome.com.tw/news/153686
【資安日報】2022年10月18日，日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體Blac…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本日的資安新聞裡，勒索軟體攻擊占大多數，且橫跨製造業、生技業者、媒體、金融業。其中，涉足半導體、汽車、醫療產業的日本科技業者大宮化成遭勒索軟體LockBit攻擊的事故相當值得留意，因為這起事故很可能波及相關產業的上下游供應鏈。</p> <p>能埋藏在電腦UEFI韌體的惡意程式，過往有數起攻擊事故傳出，攻擊者身分往往是國家級駭客。但最近有人開始在駭客論壇兜售此種攻擊軟體而引起研究人員高度關注。研究人員認為，一旦駭客買到這種惡意軟體，很有可能用於自帶驅動程式（BYOVD）攻擊。</p> <p>Fortinet於一個禮拜前優先向部分用戶以電子郵件通報重大漏洞的做法惹議，該公司也對此提出說明，並提供入侵指標供企業檢查是否遇害。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/137243/cyber-crime/oomiya-lockbit-3-0-ransomware.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本科技公司大宮化成遭勒索軟體LockBit攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/oomiya.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/oomiya.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Security Affairs的報導，勒索軟體LockBit聲稱從日本科技公司大宮化成（Oomiya）竊得機密資料，並揚言若是不願支付贖金，他們就會在10月20日外洩相關標案。由於該公司處於全球製造業、半導體、汽車、通訊、醫療保健產業的供應鏈裡，這起勒索軟體攻擊很可能對該公司合作夥伴造成重大影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-halts-circulation-of-some-german-newspapers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國報社集團遭勒索軟體攻擊，導致報紙無法正常發行</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/e-paper.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-paper.png" style="width: 300px; float: right;" /></a>德國報紙Heilbronn Stimme因10月14日的勒索軟體攻擊癱瘓印刷系統，並於17日以28頁電子報的型式恢復出刊。勒索軟體攻擊發生後，報社緊急於15日發布6頁的網站版本，但電話與電子郵件週末都處理離線狀態。該報的編輯也被迫在家工作。</p> <p>該報主編Uwe Ralf Heer指出，此起事故影響整個媒體集團Stimme Mediengruppe，並透露攻擊者身分是惡名昭彰的駭客組織，駭客在14日晚上將該報社系統加密並留下勒索訊息，但沒有提出具體的贖金要求。</p> <h3><a href="https://ciso.economictimes.indiatimes.com/news/after-ipca-laboratories-pharma-major-aarti-drugs-hit-by-ransomware-attack-data-leaked-on-dark-web/94913796"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度製藥廠Ipca Laboratories、Aarti Drugs遭勒索軟體攻擊</span></strong></a></h3> <p>根據新聞網站ETCISO的報導，印度製藥廠Ipca Laboratories、Aarti Drugs，先後於9月9日、9月10日遭到勒索軟體攻擊，前者遭到勒索軟體BianLian攻擊，後者則是被RansomHouse攻陷。</p> <p>當地資安業者Technisanct透露，駭客竊得Aarti Drugs約6 GB資料，包含了業務與管理資料、稅務申報文件等，並向這家藥廠索討20個比特幣。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/australian-insurance-firm-medibank-confirms-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲保險業者Medibank證實遭到勒索軟體攻擊</span></strong></a></h3> <p>上週澳洲保險業者Medibank遭到網路攻擊，現在他們公布進一步的調查結果。該公司表示在部分IT網路環境偵測到的異常情形，很可能就是勒索軟體攻擊，但在事件發生的期間，他們的系統並未受到影響，自17日早上部分限制用戶存取的系統已恢復運作。</p> <p>而針對ahm品牌的澳洲健康管理系統與國際國際學生政策管理系統，則是數次停擺後，Medibank宣布在18日傍晚恢復正常。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/venus-ransomware-targets-publicly-exposed-remote-desktop-services/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Venus鎖定遠端桌面連線服務入侵Windows電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/venus-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/venus-ransom-note.jpg" style="width: 300px; float: right;" /></a>資安研究員Linuxct、資安研究團隊MalwareHunterTeam發現名為Venus的勒索軟體，駭客透過遠端桌面連線（RDP）入侵受害電腦，然後終止資料庫與微軟Office等39個應用程式的處理程序，並刪除磁碟陰影複製的備份、停用資料執行防止（DEP）機制，將電腦檔案進行加密。</p> <p>資安新聞網站Bleeping Computer表示已有人在論壇表明受害，他們已改用非標準的RDP連接埠仍無法倖免。</p> <h3><a href="https://techcrunch.com/2022/10/14/india-power-company-tata-power-cyber-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度大型發電廠Tata Power證實遭到網路攻擊</span></strong></a></h3> <p>根據新聞網站TechChruch報導，印度大型發電廠Tata Power於10月14日，向當地的證交所發出通報指出，該公司部分IT系統遭到網路攻擊，他們已採取措施來復原相關系統。該公司強調，所有的重大作業系統皆功能正常，針對員工和客戶會接觸到的系統，也進行限制存取和預防性檢查。但除此之外，該公司並未透露遭到攻擊的類型，或是受害範圍。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/malware-dev-claims-to-sell-new-blacklotus-windows-uefi-bootkit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客兜售UEFI惡意軟體BlackLotus</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BlackLotus_promo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlackLotus_promo.png" style="width: 300px; float: right;" /></a>卡巴斯基、Eclypsium的研究人員指出，有人自10初在駭客論壇兜售名為BlackLotus的惡意程式，要價5千美元。這是UEFI啟動工具，並標榜能繞過安全開機的機制，具備Ring 0（核心）層級的防護機制而能避免遭到刪除——該惡意軟體會在安全模式或復原模式下啟動。除此之外，賣家宣稱此惡意軟體具有多種反偵測機制，包含可偵測是否在虛擬機器執行，以及反除錯、程式碼混淆，且能停用Windows內建的各式防護，但檔案大小僅有80 kb。</p> <p>卡巴斯基表示，這種能深入UEFI的惡意軟體往往只有國家資助的駭客才能使用，但現在財力較為雄厚的駭客已經可以直接購買，而無須自行開發。Eclypsium的研究人員指出，雖然他們尚未取得惡意程式檔案而無法確認相關功能，但如果BlackLotus確實具備上述能力，駭客很有可能用於自帶驅動程式（BYOVD）攻擊。</p> <h3><a href="https://www.fortinet.com/blog/psirt-blogs/update-regarding-cve-2022-40684"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet說明優先向特定用戶通報重大漏洞CVE-2022-40684的原因</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1665778262062.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1665778262062.png" style="width: 300px; float: right;" /></a>資安業者Fortinet於10月14日提出警告，呼籲FortiOS、FortiProxy、FortiSwitchManager的用戶要儘速修補CVE-2022-40684，並提供入侵指標（IoC），供企業檢查設備是否遭到竄改。</p> <p>而針對該公司於10月6日，先透過電子郵件向部分客戶通知此事，Fortinet表示原因是發現已有實體遭到漏洞攻擊，於是，他們決定改變通報的做法，針對採用曝露該漏洞風險韌體的用戶祕密提前進行警告，使他們能在漏洞資訊公開之前，及早強化安全防護。此外，該公司也於同日在客戶支援布告欄公開相關消息，並向美國網路安全暨基礎安全局（CISA）等機關通報此事。</p> <p>該公司表示，在他們開始私下向客戶進行通知之後，已有攻擊者開始掃描網際網路上存取漏洞的設備，且在概念性驗證程式出現後，駭客更加積極利用此漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mydeal-data-breach-impacts-22m-users-stolen-data-for-sale-online/"><span style="color: rgb(0, 0, 0);">澳洲電商平臺MyDeal資料外洩，220萬客戶受到影響</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-tls-handshake-failures-in-out-of-band-updates/"><span style="color: rgb(0, 0, 0);">微軟針對TLS交握錯誤發布額外修補程式</span></a></span></strong></p> <p><a href="https://www.watchmedia01.com/anews-20221014020630.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全國馬拉松路跑網站傳遭害，眾點資訊公司發布防詐騙簡訊</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153666">【2022年10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153639">【2022年10月14日】資安業者發現簡中介面的C2攻擊框架Alchimist、駭客使用新網釣攻擊套件租賃服務Caffeine</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153621">【2022年10月13日】駭客濫用Google表單攻擊美國小型企業、勒索軟體Black Basta以滲透測試工具BRC4入侵受害組織</a></strong></strong></strong></p> </div></div></div>
2022/10/18 18:21作者周峻佑https://www.ithome.com.tw/news/153685
鴻海科技日展示電動車、半導體、AI等技術，首次揭露低軌衛星產學研究成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鴻海在今天舉行科技日，除了發表兩輛新電動車，擴大對電動車EV市場布局之外，鴻海研究院也展示在AI、半導體、量子運算等技術研究成果，其中在資通訊技術方面，著眼於非地面通訊技術興起，與中央大學、國研院國家太空中心等產學合作研發的低軌衛星。</p> <p>鴻海研究院新世代通訊研究所所長吳仁銘表示，過去通訊技術的發展大多強調速度，但在速度提升到一定程度後，未來新型態通訊將朝新趨勢發展，高涵蓋率、高可靠度、高連結數、低延遲通訊，可支援新型態應用，包括衛星通訊、智慧車聯網、元宇宙、數位孿生、觸覺互聯網等。</p> <p>吳仁銘以現今5G的通訊技術演進來看，Rel 15、Rel 16與Rel 17為5G New Radio發展的第一波，其中Rel 17開始討論非地面網路（Non-Terrestrial Networks，NTN），低軌衛星的標準，包括5G NR支援衛星通訊，擴大涵蓋非服務地區，以及5G IoT物聯網支援衛星通訊。目前正在發展的Rel 18，以及未來的Rel 19、Rel 20將進入5G Advanced的第二波演進，相信將更多支援非地面網路，包括下一代的6G。</p> <p>他指出，低軌道衛星因發射成本降低，加上具有高覆蓋率、低延遲的特性，符合新型態應用的趨勢。受限於行動基地臺建設，目前全球約有37%，約29億人口無法連接網際網路。</p> <p>看好低軌衛星未來的市場潛力，新世代通訊研究所已和中央大學、創未來科技、太空中心及國際業者合作，開發實驗低軌衛星專案，為6U的實驗立方衛星，配備太陽能板，重約12公斤，衛星酬載採用大型相位陣列天線波束傳送，支援上下行雙工通訊，使用Ku、Ka頻段毫米波通訊，可支援多模寬頻通訊傳送等。</p> <p>吳仁銘表示，這項專案從任務規畫、系統設計、團隊分工、關鍵零組件、垂直系統及軟硬體整合，包括衛星及衛星的酬載，可進行姿態控制、軌道追蹤、電源管理，以及在軌道上的韌體更新。</p> <p>作為前瞻的通訊技術，鴻海研究院認為低軌衛星可望帶動新的應用，其中聚焦的一項應用，便是低軌衛星和車聯網的結合，目前行動基地臺建設在經濟考慮下，多以人口聚集的都會區為主，偏遠山區、較少人跡的郊區乏少行動網路覆蓋。</p> <p>吳仁銘指出，根據聯合國的統計，陸地仍有60%沒有行動網路覆蓋，當車輛從一地到另一地，容易移動到沒有網路覆蓋的地方，低軌衛星通訊提升網路覆蓋，未來與車聯網結合後的應用，可改善行車安全、資訊的傳遞。鴻海研究院另一項研究中的是，利用低軌衛星距離地面約500到600公里，相較於高軌衛星，在低軌衛星定位上更精準，搭配高精度地圖支援更多的智慧車聯網應用。</p> <p>從4G、5G到未來的6G，吳仁銘相信新型態的通訊可激發新的應用趨勢。</p> </div></div></div>
2022/10/18 19:47作者蘇文彬https://www.ithome.com.tw/news/153687
0patch釋出非官方的Windows MOTW漏洞修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者0patch本周針對藏匿在微軟Windows Mark of the Web（MOTW）中的一個安全漏洞，<a href="https://blog.0patch.com/2022/10/free-micropatches-for-bypassing-mark-of.html" target="_blank">釋出非官方修補程式</a>，該漏洞尚無編號，亦尚未被微軟修補，卻傳出已遭到駭客濫用。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgadY7cghDducFX4Gqtgz0y4PJq0MS6JoWoRAfz2LIKamYfSay0E0fAdHmt-w_bV9mk1CmpSDCaBW3leer8Um8buVMgDcgrrdP1QrOIc7RxotRaE5sJs6rYG1p0J0lHvxQobJAL-lEsL0qZOk94A3Zi70CUBjxeKHLzSA8p7_AJqC4gL1dq56C6e8ZXfw/w640-h320/Vuln_7537_NO-CVE_PatchCard_1024x512.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／0patch</span></span></p> <p>MOTW是微軟在2013年替IE所設計的安全功能，它會針對那些使用者自網路所下載的網頁或檔案，建立一個替代資料串流（Alternate Data Stream，ADS），再於該串流中添增Zone.Id以讓系統辨識它的來源，由於它並沒有官方名稱，因此許多人直接將該功能稱為「網路標記」（Mark of the Web，MOTW）。之後包括Windows或Office都開始支援MOTW，並在開啟具備該標記的內容時跳出警告。</p> <p>漏洞研究人員<a href="https://twitter.com/wdormann/status/1544416883419619333?ref_src=twsrc%5Etfw" target="_blank">Will Dormann在今年7月揭露了一個涉及MOTW的安全漏洞</a>，指出駭客得以阻止Windows的MOTW設定，讓系統在解壓縮一個ZIP檔案之後，就算某些檔案來自不可靠的來源（網路或郵件等），也不會出現MOTW。</p> <p class="rtecenter"><a href="https://twitter.com/wdormann/status/1544416883419619333?ref_src=twsrc%5Etfw" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-ZIP-MotW-vuln-by%20Will%20Dormann%20on%20Twitter.png" style="width: 600px;" /></a></p> <p>另一名安全研究人員<a href="https://twitter.com/buffaloverflow/status/1579890297185923072?s=20&t=OOxNS9JUN1SGG4huqGmQ8w" target="_blank">Rich Warren今年10月便宣稱</a>該漏洞已遭到利用。</p> <p>儘管微軟在7月便已得知該漏洞的存在，惟迄今並未修補。</p> <p>0patch指出，倘若駭客在一個ZIP壓縮檔中夾帶惡意的Word及Excel檔，但因解壓縮過程遺失了MOTW而未遭到封鎖，使用者的系統亦有可能受到危害。因此，0patch的修補程式即是讓解壓縮的檔案仍具備MOTW，以便於開啟時跳出警告。</p> <p>0patch所提供的微修補程式適用於Windows Server 2018~2022，Windows 7、Windows 10與Windows 11，只要建立免費的0patch帳號就能取得。</p> </div></div></div>
2022/10/18 15:28作者陳曉莉https://www.ithome.com.tw/news/153680
CISA開源紅隊分析工具RedEye
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全及基礎設施安全局（CISA）及美國能源部太平洋西北國家實驗室（Pacific Northwest National Laboratory，CNNL）攜手開發的紅隊分析工具RedEye，<a href="https://github.com/cisagov/RedEye/" target="_blank">在上周透過GitHub開源了</a>。</p> <p>RedEye是個互動式的分析工具，可用來視覺化及匯報紅隊的命令及控制活動，讓操作者可快速存取複雜的資料，評估緩解策略，最終促進有效的決策。它能分析各種日誌，例如來自Cobalt Strike的紀錄，並以容易理解的格式呈現；允許使用者針對特定活動進行註解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-RedEye-LoginScreen-by%20CISA%20on%20GitHub.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CISA on GitHub</span></span></p> <p>具體而言，RedEye可分析紅隊活動的C&C框架日誌，只需少數的人為介入，就能建立一個可呈現相關活動資訊的互動介面；它還能用來建立各種活動的歷史紀錄並重播；可分析活動中的不同事件並追蹤其滲透路徑；建立含有技術、重點、策略及討論內容的報告；亦能根據活動所使用的技術及各種評論自動產生簡報；並輸入報告與活動。</p> <p>RedEye支援Linux、macOS與Windows作業系統。</p> </div></div></div>
2022/10/18 15:47作者陳曉莉https://www.ithome.com.tw/news/153681
美國黑人饒舌歌手Ye將買下具爭議的Parler社交網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年曾被蘋果、Google及Amazon<a href="https://www.ithome.com.tw/news/142138" target="_blank">聯手封殺的社交平臺Parler</a>，本周<a href="https://blog.parler.com/ye-formerly-known-as-kanye-west-to-acquire-parler-platform/" target="_blank">宣布將出售給</a>本月相繼被Instagram與Twitter停權的美國黑人饒舌歌手Ye，宣稱雙方的理念一致，未來Ye仍將繼續打造一個真正言論自由的平臺，讓任何的帳號或言論都不會被取消。</p> <p>此一交易是由Parler母公司Parlement Technologies所宣布，成立於2018年的Parler聚集了許多美國前總統川普（Donald Trump）的支持者，是個標榜言論自由的平臺，然而，2021年1月川普支持者發動美國國會暴動事件，再加上Parler充斥著煽動暴力的內容，而遭到蘋果、Google及Amazon以內容管理不當為由聯手封殺。此外，當時也是Parler用戶數的顛峰，約吸引了2,000萬名使用者，但目前所估計的活躍用戶只有100萬。</p> <p>另一方面，原名為Kanye West的美國饒舌歌手Ye不僅被視為史上最富有的黑人，亦曾角逐2020年的美國總統大選，他是在2021年以個人因素為由改名為Ye。不過，Ye今年10月因於Instagram及Twitter上發布反猶太內容，而相繼被這兩個平臺停權。</p> <p class="rtecenter"><img alt="" src="https://mma.prnewswire.com/media/1922376/Ye.jpg?w=350" style="width: 225px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Kanye West，圖片來源／Parler</span></span></p> <p>Ye在併購聲明中表示，在一個保守觀點被當作爭議的世界，我們必須確保自己有自由表達的權利，Parler未來將致力於創造一個不可取消的生態體系，歡迎所有不同的聲音。</p> <p>事實上，Ye一直到這兩天才<a href="https://parler.com/kanye/?mtm_campaign=ye_announcement&mtm_source=blog&mtm_medium=blog" target="_blank">於Parler上設立了個人帳號</a>，而且尚無任何發文。</p> <p>雙方並未公布交易規模，僅說預計於今年第四季完成交易。</p> </div></div></div>
2022/10/18 14:18作者陳曉莉https://www.ithome.com.tw/news/153679